CVE-2022-30190
Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability
Beschreibung
CVE-2022-30190, weithin als „Follina“ bekannt, ist eine Remote-Code-Execution-Schwachstelle im Microsoft Windows Support Diagnostic Tool (MSDT). Die Schwachstelle wird ausgelöst, wenn MSDT über das URL-Protokoll von einer aufrufenden Anwendung wie Microsoft Word aufgerufen wird, wodurch ein Angreifer beliebigen Code mit den Berechtigungen der aufrufenden Anwendung ausführen kann. Für die Ausnutzung genügt es, dass ein Benutzer ein bösartiges Dokument öffnet oder in der Windows-Vorschau anzeigt, was diese Microsoft-Windows-Schwachstelle besonders gefährlich für Phishing-Szenarien macht. Die CISA hat CVE-2022-30190 in ihren KEV-Katalog aufgenommen, und mit einem EPSS-Score von 93,6 % (99. Perzentil) sowie bestätigtem Einsatz in Ransomware-Kampagnen erfordert diese Schwachstelle sofortige Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19325 |
| microsoft | windows 10 1607 | < 10.0.14393.5192 |
| microsoft | windows 10 1809 | < 10.0.17763.3046 |
| microsoft | windows 10 20h2 | < 10.0.19042.1766 |
| microsoft | windows 10 21h1 | < 10.0.19043.1766 |
| microsoft | windows 10 21h2 | < 10.0.19044.1766 |
| microsoft | windows 11 21h2 | < 10.0.22000.739 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.5192 |
| microsoft | windows server 2019 | < 10.0.17763.3046 |
| microsoft | windows server 2022 | < 10.0.20348.770 |
| microsoft | windows server 20h2 | < 10.0.19042.1766 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190(Vendor Advisory)
- http://packetstormsecurity.com/files/167438/Microsoft-Office-Word-MSDTJS-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-30190(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-30190(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Obwohl CVE-2022-30190 primär eine Schwachstelle im Protokoll-Handler-Missbrauch ist, beinhaltet der zugrunde liegende Ausnutzungsmechanismus eine unsachgemäße Verarbeitung von Eingaben, die über das MSDT-URL-Protokoll übergeben werden. Das Windows MSDT validiert die über seinen Protokoll-Handler empfangenen Eingaben nicht ordnungsgemäß, wodurch Angreifer bösartige Befehle über speziell präparierte Dokumenten-Payloads einschleusen und ausführen können.
Mehr erfahren: CWE-119 — Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Auswirkungsanalyse
CVE-2022-30190 ist eine kritische Remote-Code-Execution-Schwachstelle, die aus der Ferne ausnutzbar ist, ohne dass eine Authentifizierung oder besondere Privilegien erforderlich sind. Die Angriffskomplexität ist gering — ein Angreifer muss lediglich ein speziell präpariertes Dokument an ein Opfer senden, das es nur öffnen oder in der Vorschau anzeigen muss. Es ist keine Authentifizierung erforderlich und minimale Benutzerinteraktion (Öffnen eines Dokuments) löst den Exploit aus. Da der bösartige Code mit den Berechtigungen der aufrufenden Anwendung ausgeführt wird, kann ein Angreifer Programme installieren, Daten einsehen oder ändern und neue Konten erstellen. Der EPSS-Score von 93,6 % (99. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an, und der bestätigte Einsatz von CVE-2022-30190 in Ransomware-Kampagnen macht diese Schwachstelle zu einer existenziellen Bedrohung für nicht gepatchte Organisationen.
Exploit-Reifegrad
CVE-2022-30190 hat maximale Exploit-Reife erreicht, mit weit verbreiteter aktiver Ausnutzung über mehrere Bedrohungsgruppen hinweg. Die CISA hat aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, wobei die bekannte Nutzung in Ransomware-Angriffen ausdrücklich dokumentiert ist. Der EPSS-Score von 93,6 % (99. Perzentil) spiegelt eine nahezu sichere Ausnutzungswahrscheinlichkeit wider. Öffentliche Proof-of-Concept-Exploits sind weithin verfügbar, und die Schwachstelle wurde in zahlreichen Phishing-Kampagnen weltweit als Waffe eingesetzt. Die Einfachheit der Ausnutzung — es genügt ein bösartiges Office-Dokument — hat CVE-2022-30190 zu einem bevorzugten Werkzeug sowohl krimineller Gruppen als auch staatlich unterstützter Akteure gemacht.
Behebung
- Microsoft-Sicherheitsupdate sofort einspielen, wie von der CISA gefordert. Installieren Sie das kumulative Sicherheitsupdate vom Juni 2022 für alle betroffenen Windows-Versionen.
- MSDT-URL-Protokoll deaktivieren als Sofortmaßnahme, falls ein Patchen nicht sofort möglich ist: Führen Sie
reg delete HKEY_CLASSES_ROOT\ms-msdt /fin einer erhöhten Eingabeaufforderung aus, und sichern Sie den Registrierungsschlüssel zuvor mitreg export HKEY_CLASSES_ROOT\ms-msdt backup.reg. - Office-Anwendungen an der Erstellung von Kindprozessen hindern mittels Attack Surface Reduction (ASR)-Regeln in Microsoft Defender for Endpoint, um die Exploit-Kette zu unterbrechen.
- E-Mail-Gateway-Filterung einsetzen, um Dokumente mit verdächtigen MSDT-URL-Protokollaufrufen zu erkennen und unter Quarantäne zu stellen, und Benutzer über die Risiken unerwarteter Dokumentanhänge aufklären.
- Endpoint-Detection-Protokolle überwachen auf MSDT-Prozessausführungen, die von Office-Anwendungen gestartet werden — ein abnormales Verhaltensmuster, das auf Ausnutzungsversuche hinweist.
Technische Details
CVE-2022-30190 nutzt den Microsoft Support Diagnostic Tool (MSDT) URL-Protokoll-Handler (ms-msdt:/) aus, um Remote-Code-Execution über speziell präparierte Office-Dokumente zu erzielen. Wenn ein Opfer ein bösartiges Dokument öffnet, löst das eingebettete OLE-Objekt oder HTML-Template einen Aufruf des ms-msdt-Protokolls aus und übergibt angreiferkontrollierte Parameter an msdt.exe. Der MSDT-Prozess führt dann PowerShell- oder andere Befehle aus, die in den präparierten URL-Parametern spezifiziert sind. Entscheidend ist, dass dieser Angriff die Microsoft-Office-Makrosicherheit vollständig umgeht, da er nicht auf VBA-Makros basiert — der Exploit wird über den URL-Protokoll-Handler-Mechanismus ausgelöst, der außerhalb der Makroausführungsrichtlinie operiert. Der Angriff kann auch über RTF-Dateien ausgelöst werden, die den Payload bereits bei der Dokumentvorschau im Windows Explorer ausführen.
Häufig gestellte Fragen
Wird CVE-2022-30190 aktiv ausgenutzt?
Ja. CVE-2022-30190 (Follina) wird von der CISA als weit verbreitet aktiv ausgenutzt bestätigt. Die Schwachstelle wurde in Ransomware-Kampagnen und von mehreren Bedrohungsgruppen in weltweiten Phishing-Angriffen eingesetzt. Der EPSS-Score von 93,6 % (99. Perzentil) spiegelt nahezu sichere Ausnutzungsaktivität wider. Sofortiges Patchen ist zwingend erforderlich.
Welche Produkte sind von CVE-2022-30190 betroffen?
CVE-2022-30190 betrifft alle unterstützten Windows-Versionen, die die MSDT-Komponente enthalten. Die Schwachstelle wird über Microsoft-Office-Anwendungen (Word, Excel, Outlook) ausgenutzt und kann über RTF-Dateien im Windows Explorer ausgelöst werden. Jedes Windows-System mit MSDT und Office ist potenziell verwundbar.
Wie behebe ich CVE-2022-30190?
Installieren Sie das kumulative Microsoft-Sicherheitsupdate vom Juni 2022 auf allen betroffenen Windows-Systemen. Als Sofortmaßnahme können Sie das MSDT-URL-Protokoll durch Löschen des ms-msdt-Registrierungsschlüssels deaktivieren. Aktivieren Sie zusätzlich ASR-Regeln, um zu verhindern, dass Office-Anwendungen Kindprozesse erzeugen.
Wie schwerwiegend ist CVE-2022-30190?
CVE-2022-30190 ist eine kritische Remote-Code-Execution-Schwachstelle mit einem EPSS-Score von 93,6 %, der nahezu sichere Ausnutzung anzeigt. Sie erfordert minimale Benutzerinteraktion, umgeht Makro-Sicherheitskontrollen und wurde in Ransomware-Kampagnen bestätigt. Die Kombination aus einfacher Ausnutzung, breiter Anwendbarkeit und aktiver Bewaffnung macht dies zu einer der schwerwiegendsten Windows-Schwachstellen der letzten Jahre.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.