CVE-2022-41073
Microsoft Windows Print Spooler Privilege Escalation Vulnerability
Beschreibung
CVE-2022-41073 ist eine Schwachstelle zur Rechteausweitung im Windows Print Spooler-Dienst von Microsoft. Die Sicherheitslücke basiert auf einem Out-of-bounds-Write-Fehler (Schreibzugriff außerhalb des vorgesehenen Speicherbereichs), der es einem lokal authentifizierten Angreifer ermöglicht, SYSTEM-Rechte auf dem betroffenen Windows-System zu erlangen. Durch die erfolgreiche Ausnutzung von CVE-2022-41073 kann ein Angreifer mit niedrigen Berechtigungen die vollständige Kontrolle über das System übernehmen, einschließlich der Vertraulichkeit, Integrität und Verfügbarkeit aller Daten. Die CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen und bestätigt aktive Ausnutzung, wobei auch ein Zusammenhang mit Ransomware-Angriffen bekannt ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19567 |
| microsoft | windows 10 1607 | < 10.0.14393.5501 |
| microsoft | windows 10 1809 | < 10.0.17763.3650 |
| microsoft | windows 10 20h2 | < 10.0.19042.2251 |
| microsoft | windows 10 21h1 | < 10.0.19043.2251 |
| microsoft | windows 10 21h2 | < 10.0.19044.2251 |
| microsoft | windows 10 22h2 | < 10.0.19045.2251 |
| microsoft | windows 11 21h2 | < 10.0.22000.1219 |
| microsoft | windows 11 22h2 | < 10.0.22621.819 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.5501 |
| microsoft | windows server 2019 | < 10.0.17763.3650 |
| microsoft | windows server 2022 | < 10.0.20348.1249 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41073(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/174528/Microsoft-Windows-Privilege-Escalation.html(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-41073(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Bei CVE-2022-41073 liegt ein Out-of-bounds-Write-Fehler im Windows Print Spooler vor. Die Software schreibt Daten über die Grenzen des vorgesehenen Speicherpuffers hinaus, was es einem Angreifer ermöglicht, beliebigen Code auszuführen oder das System zum Absturz zu bringen.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2022-41073 erfordert lokalen Zugriff auf das Zielsystem, wobei die Angriffskomplexität gering ist und nur niedrige Berechtigungen (ein reguläres Benutzerkonto) benötigt werden. Eine Benutzerinteraktion ist nicht erforderlich, was die Ausnutzung vereinfacht. Vertraulichkeit (hoch): Ein erfolgreicher Angriff gewährt Zugriff auf alle Daten des Systems, einschließlich sensibler Informationen und Anmeldedaten. Integrität (hoch): Der Angreifer kann beliebige Systemdateien und Konfigurationen manipulieren. Verfügbarkeit (hoch): Das gesamte System kann außer Betrieb gesetzt oder für weitere Angriffe missbraucht werden. Mit einem CVSS-Score von 7.8 (High) und der bestätigten Nutzung durch Ransomware-Akteure stellt diese Print-Spooler-Schwachstelle ein erhebliches Sicherheitsrisiko dar, insbesondere da sie die breite Palette von Windows 7 bis Windows Server 2022 betrifft.
Exploit-Reifegrad
Die CISA hat CVE-2022-41073 in den KEV-Katalog aufgenommen und bestätigt damit aktive Ausnutzung in freier Wildbahn, einschließlich der nachgewiesenen Verwendung durch Ransomware-Gruppen. Öffentlicher Exploit-Code ist verfügbar für CVE-2022-41073 über Packet Storm Security, was die Einstiegshürde für Angreifer deutlich senkt. Der EPSS-Score von 2,54 % (85. Perzentil) deutet darauf hin, dass die Ausnutzung zwar nicht flächendeckend verbreitet, aber gezielt und aktiv erfolgt. Angesichts der öffentlich verfügbaren Exploit-Tools und der Ransomware-Verbindung sollten Administratoren die Behebung priorisieren.
Behebung
-
Sicherheitsupdates umgehend installieren: Gemäß der CISA-Anweisung müssen die von Microsoft bereitgestellten Patches angewendet oder das betroffene Produkt außer Betrieb genommen werden. Die Updates sind über das Microsoft Security Response Center verfügbar.
-
Alle betroffenen Windows-Versionen patchen: Die Sicherheitsupdates müssen auf allen betroffenen Systemen eingespielt werden — von Windows 7 und 8.1 über Windows 10 (1507 bis 22H2) und Windows 11 bis hin zu Windows Server 2008, 2012, 2016, 2019 und 2022.
-
Print Spooler-Dienst deaktivieren, wo nicht benötigt: Auf Systemen, die keinen Druckdienst erfordern (insbesondere Domain Controller und kritische Server), sollte der Print Spooler-Dienst deaktiviert werden, um die Angriffsfläche zu reduzieren. Dies kann über Gruppenrichtlinien oder den Befehl "Stop-Service Spooler -Force; Set-Service Spooler -StartupType Disabled" erfolgen.
-
Überwachung und Erkennung verstärken: Prüfen Sie Windows-Ereignisprotokolle auf verdächtige Aktivitäten im Zusammenhang mit dem Print Spooler-Dienst. Überwachen Sie insbesondere ungewöhnliche Prozesserstellungen unter dem Spoolsv.exe-Kontext und setzen Sie EDR-Lösungen zur Erkennung von Privilege-Escalation-Versuchen ein.
-
Langfristige Härtung durch Speicherschutz: Stellen Sie sicher, dass Exploit-Schutzmaßnahmen wie ASLR (Address Space Layout Randomization) und DEP (Data Execution Prevention) systemweit aktiviert sind, um die Ausnutzung von Speicherkorruptionsfehlern zu erschweren.
Technische Details
CVE-2022-41073 ist eine Out-of-bounds-Write-Schwachstelle (CWE-787) im Windows Print Spooler-Dienst, einem systemkritischen Prozess, der für die Verwaltung von Druckaufträgen zuständig ist. Der Fehler entsteht durch unzureichende Überprüfung von Speichergrenzen, wodurch Daten über den vorgesehenen Pufferbereich hinaus geschrieben werden können. Der CVSS-Vektor (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass ein lokal authentifizierter Angreifer mit minimalen Berechtigungen die Schwachstelle ohne weitere Benutzerinteraktion ausnutzen kann. Durch das gezielte Überschreiben von Speicherbereichen kann der Angreifer die Ausführung beliebigen Codes im Kontext des SYSTEM-Benutzers erreichen und damit die vollständige Kontrolle über das betroffene Windows-System erlangen. Der Print Spooler ist ein wiederholt angegriffenes Ziel, da er standardmäßig auf allen Windows-Systemen aktiv ist und mit erhöhten Berechtigungen ausgeführt wird.
Häufig gestellte Fragen
Wird CVE-2022-41073 aktiv ausgenutzt?
Ja, CVE-2022-41073 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen, und es ist bestätigt, dass Ransomware-Gruppen diese Rechteausweitungs-Schwachstelle im Print Spooler gezielt nutzen. Öffentlicher Exploit-Code ist über Packet Storm Security verfügbar.
Welche Produkte sind von CVE-2022-41073 betroffen?
Betroffen sind praktisch alle Windows-Versionen mit aktivem Print Spooler-Dienst, darunter Windows 7, Windows 8.1, Windows 10 (1507 bis 22H2), Windows 11 (21H2 und 22H2) sowie die Server-Versionen Windows Server 2008, 2012, 2016, 2019 und 2022.
Wie behebe ich CVE-2022-41073?
Installieren Sie die Microsoft-Sicherheitsupdates über Windows Update oder das MSRC-Portal. Auf Systemen ohne Druckbedarf sollte der Print Spooler-Dienst deaktiviert werden. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2022-41073?
Mit einem CVSS-Score von 7.8 wird CVE-2022-41073 als hochkritisch (High) eingestuft. Die Schwachstelle ermöglicht die vollständige Systemübernahme durch Rechteausweitung. Der EPSS-Score liegt im 85. Perzentil, und die bestätigte Ransomware-Nutzung unterstreicht die Dringlichkeit der Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.