CVE-2022-41091
Microsoft Windows Mark of the Web (MOTW) Security Feature Bypass Vulnerability
Beschreibung
CVE-2022-41091 ist eine Sicherheitslücke in Microsoft Windows, die den Schutzmechanismus Mark of the Web (MotW) umgeht. Diese Schwachstelle basiert auf einer fehlerhaften Autorisierungsprüfung und ermöglicht es Angreifern, den MotW-Sicherheitshinweis zu umgehen, der normalerweise Benutzer vor potenziell gefährlichen Dateien aus dem Internet warnt. Durch erfolgreiche Ausnutzung der CVE-2022-41091-Schwachstelle können Angreifer manipulierte Dateien verbreiten, die beim Öffnen keine Sicherheitswarnungen auslösen und so die Integrität des Systems beeinträchtigen. Die CISA hat diese Sicherheitslücke in ihren KEV-Katalog aufgenommen und bestätigt damit aktive Ausnutzung in freier Wildbahn, einschließlich des Einsatzes durch Ransomware-Akteure.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19567 |
| microsoft | windows 10 1607 | < 10.0.14393.5501 |
| microsoft | windows 10 1809 | < 10.0.17763.3650 |
| microsoft | windows 10 20h2 | < 10.0.19042.2251 |
| microsoft | windows 10 21h1 | < 10.0.19043.2251 |
| microsoft | windows 10 21h2 | < 10.0.19044.2251 |
| microsoft | windows 10 22h2 | < 10.0.19045.2251 |
| microsoft | windows 11 21h2 | < 10.0.22000.1219 |
| microsoft | windows 11 22h2 | < 10.0.22621.819 |
| microsoft | windows server 2016 | < 10.0.14393.5501 |
| microsoft | windows server 2019 | < 10.0.17763.3650 |
| microsoft | windows server 2022 | < 10.0.20348.1249 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41091(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-41091(US Government Resource)
Schwachstellentyp
CWE-863: Incorrect Authorization
Bei CVE-2022-41091 liegt eine fehlerhafte Autorisierungsprüfung im Windows Mark-of-the-Web-Mechanismus vor. Das System überprüft nicht korrekt, ob heruntergeladene Dateien die entsprechende MotW-Markierung tragen, wodurch Angreifer diese Sicherheitsbarriere umgehen können.
Mehr erfahren: CWE-863 — Incorrect Authorization
Auswirkungsanalyse
Die CVE-2022-41091-Schwachstelle ist über das Netzwerk ausnutzbar, ohne dass physischer Zugang zum Zielsystem erforderlich ist, und die Angriffskomplexität ist gering. Es werden keine Authentifizierung oder besondere Berechtigungen benötigt, allerdings ist eine Benutzerinteraktion erforderlich — das Opfer muss eine manipulierte Datei öffnen oder auf einen präparierten Link klicken. Integrität (niedrig): Der MotW-Schutzmechanismus wird umgangen, sodass potenziell gefährliche Dateien ohne Sicherheitswarnung ausgeführt werden können. Verfügbarkeit (niedrig): Eingeschränkte Auswirkungen auf die Systemverfügbarkeit sind möglich. Mit einem CVSS-Score von 5.4 (Medium) erscheint die Schwachstelle zunächst moderat, jedoch erhöht die bestätigte Nutzung durch Ransomware-Gruppen das reale Risiko erheblich. Betroffen sind nahezu alle Windows-Versionen einschließlich Windows 10, Windows 11 und Windows Server 2016 bis 2022.
Exploit-Reifegrad
Die CISA hat CVE-2022-41091 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Besonders besorgniserregend ist, dass diese Schwachstelle nachweislich von Ransomware-Akteuren genutzt wird, um den Mark-of-the-Web-Schutz zu umgehen und schädliche Dateien ohne Warnhinweise auszuführen. Der EPSS-Score von 6,95 % (91. Perzentil) deutet auf eine überdurchschnittlich hohe Wahrscheinlichkeit der Ausnutzung hin. Administratoren sollten umgehend handeln, da die Frist der CISA für die Behebung auf den 9. Dezember 2022 festgesetzt wurde.
Behebung
-
Sicherheitsupdates umgehend installieren: Gemäß der CISA-Empfehlung müssen die von Microsoft bereitgestellten Patches angewendet oder das betroffene Produkt außer Betrieb genommen werden. Die Patches sind über das Microsoft Security Response Center verfügbar.
-
Alle betroffenen Windows-Versionen aktualisieren: Die Sicherheitsupdates müssen auf allen betroffenen Systemen eingespielt werden, darunter Windows 10 (1507 bis 22H2), Windows 11 (21H2 und 22H2) sowie Windows Server 2016, 2019 und 2022.
-
Gruppenrichtlinien für Dateisicherheit verschärfen: Konfigurieren Sie über Gruppenrichtlinien die Windows Defender SmartScreen-Einstellungen, um heruntergeladene Dateien unabhängig vom MotW-Status strenger zu prüfen. Beschränken Sie die Ausführung von Dateien aus nicht vertrauenswürdigen Quellen zusätzlich über Application Control-Richtlinien.
-
Überwachung auf Indikatoren prüfen: Überprüfen Sie Protokolle auf verdächtige Dateiausführungen ohne MotW-Markierung, insbesondere aus E-Mail-Anhängen oder Web-Downloads. Setzen Sie Endpoint Detection and Response (EDR) ein, um ungewöhnliche Prozessaktivitäten zu identifizieren.
-
Langfristige Härtung durch Zugriffskontrollen: Implementieren Sie eine strikte Autorisierungsstrategie, die über den MotW-Mechanismus hinausgeht, einschließlich der Einschränkung von Makro-Ausführung in Office-Dokumenten und der Durchsetzung von Code-Signing-Richtlinien.
Technische Details
CVE-2022-41091 basiert auf einer fehlerhaften Autorisierungsprüfung (CWE-863) im Windows Mark-of-the-Web-Mechanismus. MotW ist ein Sicherheitsfeature, das heruntergeladenen Dateien einen Alternate Data Stream (ADS) namens Zone.Identifier zuweist, der den Ursprung der Datei kennzeichnet. Die Schwachstelle ermöglicht es, dass dieser Mechanismus umgangen wird, sodass Dateien aus dem Internet oder anderen nicht vertrauenswürdigen Quellen ohne die entsprechende MotW-Markierung auf dem System landen. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L) zeigt, dass der Angriff netzwerkbasiert erfolgt und eine geringe Komplexität aufweist, jedoch eine Benutzerinteraktion erfordert — typischerweise das Öffnen einer präparierten Datei. Die primäre Auswirkung betrifft die Integrität, da der Schutzmechanismus unterlaufen wird, der Benutzer normalerweise vor der Ausführung potenziell gefährlicher Dateien warnt.
Häufig gestellte Fragen
Wird CVE-2022-41091 aktiv ausgenutzt?
Ja, CVE-2022-41091 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren Katalog bekannter ausgenutzter Sicherheitslücken (KEV) aufgenommen. Zudem ist bestätigt, dass Ransomware-Gruppen diese Schwachstelle nutzen, um den Mark-of-the-Web-Schutz zu umgehen.
Welche Produkte sind von CVE-2022-41091 betroffen?
Betroffen sind nahezu alle aktuellen Microsoft Windows-Versionen, darunter Windows 10 (Versionen 1507 bis 22H2), Windows 11 (21H2 und 22H2) sowie die Server-Varianten Windows Server 2016, 2019 und 2022. Sowohl Desktop- als auch Server-Installationen sind verwundbar.
Wie behebe ich CVE-2022-41091?
Installieren Sie umgehend die von Microsoft bereitgestellten Sicherheitsupdates über Windows Update oder das Microsoft Security Response Center. Ergänzend sollten Sie Gruppenrichtlinien für SmartScreen und Application Control verschärfen. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2022-41091?
Mit einem CVSS-Score von 5.4 wird die Schwachstelle als mittelschwer (Medium) eingestuft. Der EPSS-Score liegt im 91. Perzentil, was auf eine überdurchschnittliche Ausnutzungswahrscheinlichkeit hinweist. Die bestätigte Nutzung durch Ransomware-Akteure erhöht das praktische Risiko deutlich über die reine CVSS-Bewertung hinaus.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.