CVE-2022-41049
Microsoft Windows Mark of the Web (MOTW) Security Feature Bypass Vulnerability
Beschreibung
CVE-2022-41049 ist eine Schwachstelle in der Mark-of-the-Web-Sicherheitsfunktion (MotW) von Microsoft Windows, die eine Umgehung dieser Schutzmechanismen ermöglicht. Betroffen sind zahlreiche Windows-Versionen, darunter Windows 10, Windows 11 und Windows Server 2016, 2019 sowie 2022. Durch die Ausnutzung dieser Sicherheitslücke kann ein Angreifer Dateien so manipulieren, dass die Mark-of-the-Web-Kennzeichnung nicht korrekt angewendet wird, wodurch Sicherheitswarnungen beim Öffnen aus dem Internet heruntergeladener Dateien umgangen werden. Die Schwachstelle wurde mit einem CVSS-Score von 5.4 (Mittel) bewertet und von der CISA in den KEV-Katalog aufgenommen. Mit einem EPSS-Score von 13,1 % (94. Perzentil) besteht eine erhöhte Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19567 |
| microsoft | windows 10 1607 | < 10.0.14393.5501 |
| microsoft | windows 10 1809 | < 10.0.17763.3650 |
| microsoft | windows 10 20h2 | < 10.0.19042.2251 |
| microsoft | windows 10 21h1 | < 10.0.19043.2251 |
| microsoft | windows 10 21h2 | < 10.0.19044.2251 |
| microsoft | windows 10 22h2 | < 10.0.19045.2251 |
| microsoft | windows 11 21h2 | < 10.0.22000.1219 |
| microsoft | windows 11 22h2 | < 10.0.22621.819 |
| microsoft | windows server 2016 | < 10.0.14393.5501 |
| microsoft | windows server 2019 | < 10.0.17763.3650 |
| microsoft | windows server 2022 | < 10.0.20348.1249 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41049(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-41049(US Government Resource)
Schwachstellentyp
Die CVE-Beschreibung enthält keine spezifische CWE-Zuordnung. Bei der Schwachstelle handelt es sich um eine Umgehung der Mark-of-the-Web-Sicherheitsfunktion (Security Feature Bypass), bei der Windows die MotW-Kennzeichnung für bestimmte Dateitypen nicht korrekt anwendet. Dies ermöglicht es Angreifern, die normalerweise durch MotW ausgelösten Sicherheitswarnungen und Schutzmaßnahmen zu umgehen.
Auswirkungsanalyse
CVE-2022-41049 wird mit einem CVSS-Score von 5.4 als mittelschwer eingestuft, was auf den ersten Blick weniger kritisch erscheint. Angriffsvektor (Netzwerk): Die Schwachstelle ist über das Netzwerk ausnutzbar, typischerweise durch das Versenden manipulierter Dateien per E-Mail oder über bösartige Webseiten. Angriffskomplexität (Niedrig): Keine besonderen technischen Voraussetzungen sind für die Ausnutzung erforderlich. Benutzerinteraktion (Erforderlich): Das Opfer muss aktiv eine manipulierte Datei herunterladen und öffnen. Vertraulichkeit (Keine): Die Schwachstelle allein gibt keinen direkten Zugriff auf vertrauliche Daten. Integrität und Verfügbarkeit (jeweils Niedrig): Die unmittelbaren Auswirkungen sind begrenzt, da die Schwachstelle primär die Umgehung einer Sicherheitsfunktion ermöglicht. Jedoch dient die Mark-of-the-Web-Umgehung häufig als erster Schritt in einer Angriffskette: Ohne MotW-Warnung werden heruntergeladene Dateien von Windows SmartScreen, Microsoft Office Protected View und anderen Schutzmechanismen nicht als potenziell gefährlich erkannt, was die Ausführung von Malware erheblich erleichtert. Der EPSS-Score von 13,1 % (94. Perzentil) unterstreicht die praktische Relevanz.
Exploit-Reifegrad
CVE-2022-41049 wird aktiv ausgenutzt, was durch die Aufnahme in den CISA KEV-Katalog mit einer Behebungsfrist bis zum 9. Dezember 2022 bestätigt wird. Mark-of-the-Web-Umgehungen sind besonders attraktiv für Angreifer, da sie als Türöffner für nachfolgende Angriffe dienen und die Wirksamkeit von Windows-Sicherheitsfunktionen wie SmartScreen untergraben. Der EPSS-Score von 13,1 % (94. Perzentil) zeigt eine deutlich überdurchschnittliche Ausnutzungswahrscheinlichkeit an. Eine direkte Verbindung zu Ransomware-Kampagnen ist nicht offiziell bekannt, jedoch wird die MotW-Umgehung häufig in Kombination mit anderen Schwachstellen oder Social-Engineering-Techniken eingesetzt, um Malware unbemerkt auszuführen.
Behebung
- Microsoft-Sicherheitsupdate installieren: Wenden Sie das Sicherheitsupdate von Microsoft für CVE-2022-41049 an, das über Microsoft Security Update Guide verfügbar ist. Das Update behebt die fehlerhafte MotW-Behandlung in allen betroffenen Windows-Versionen.
- Alle betroffenen Systeme aktualisieren: Stellen Sie sicher, dass Windows 10 (alle Versionen von 1507 bis 22H2), Windows 11 (21H2 und 22H2) sowie Windows Server 2016, 2019 und 2022 gepatcht werden. Nutzen Sie WSUS, SCCM oder Intune für die zentrale Verteilung.
- Zusätzliche E-Mail-Sicherheit: Konfigurieren Sie E-Mail-Gateways und Sicherheitslösungen, um verdächtige Dateianhänge (insbesondere Archive und Container-Formate, die MotW umgehen können) zu blockieren oder in Quarantäne zu stellen.
- Application Control einsetzen: Implementieren Sie Windows Defender Application Control (WDAC) oder AppLocker-Richtlinien als zusätzliche Schutzebene, die die Ausführung nicht autorisierter Anwendungen unabhängig vom MotW-Status verhindern.
- Benutzer-Awareness stärken: Schulen Sie Mitarbeiter hinsichtlich der Risiken beim Öffnen von Dateien aus unbekannten Quellen, insbesondere wenn Sicherheitswarnungen fehlen oder ungewöhnlich erscheinen.
Technische Details
CVE-2022-41049 betrifft die Implementierung der Mark-of-the-Web-Funktion (MotW) in Microsoft Windows. MotW ist ein Sicherheitsmechanismus, der über NTFS Alternate Data Streams (Zone.Identifier) aus dem Internet heruntergeladene Dateien kennzeichnet und nachfolgende Sicherheitsprüfungen wie SmartScreen und Office Protected View auslöst. Schwachstellenmechanismus: Die fehlerhafte Implementierung führt dazu, dass bestimmte Dateitypen oder Dateistrukturen die MotW-Kennzeichnung nicht korrekt erhalten oder diese beim Extrahieren verloren geht. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L zeigt, dass die Schwachstelle über das Netzwerk mit niedriger Komplexität und ohne Authentifizierung ausnutzbar ist, jedoch eine Benutzerinteraktion erfordert. Die begrenzten Auswirkungen auf Integrität und Verfügbarkeit (jeweils Niedrig) spiegeln wider, dass es sich primär um eine Umgehung einer Sicherheitsfunktion handelt, die jedoch als Grundlage für nachfolgende, schwerwiegendere Angriffe dient.
Häufig gestellte Fragen
Wird CVE-2022-41049 aktiv ausgenutzt?
Ja, CVE-2022-41049 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und eine Behebungsfrist bis zum 9. Dezember 2022 festgelegt. Der EPSS-Score von 13,1 % (94. Perzentil) bestätigt die erhöhte Ausnutzungswahrscheinlichkeit. Eine direkte Verbindung zu Ransomware ist nicht bekannt.
Welche Produkte sind von CVE-2022-41049 betroffen?
Betroffen sind zahlreiche Microsoft Windows-Versionen: Windows 10 (Versionen 1507, 1607, 1809, 20H2, 21H1, 21H2, 22H2), Windows 11 (21H2, 22H2) sowie Windows Server 2016, 2019 und 2022. Dies umfasst sowohl Desktop- als auch Server-Betriebssysteme.
Wie behebe ich CVE-2022-41049?
Installieren Sie das Microsoft-Sicherheitsupdate für CVE-2022-41049 über Windows Update oder den Microsoft Update Catalog. Das Update ist für alle betroffenen Windows-Versionen verfügbar. Ergänzend sollten Sie E-Mail-Sicherheitslösungen und Application-Control-Richtlinien als zusätzliche Schutzebenen einsetzen.
Wie schwerwiegend ist CVE-2022-41049?
CVE-2022-41049 hat einen CVSS-Score von 5.4 (Mittel), was die direkten Auswirkungen widerspiegelt. Die praktische Gefährlichkeit liegt jedoch darin, dass die Mark-of-the-Web-Umgehung als Einfallstor für nachfolgende Angriffe dient — ohne MotW-Kennzeichnung greifen Windows-Schutzmechanismen wie SmartScreen nicht, was die Ausführung von Malware erheblich erleichtert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.