CVE-2022-41128
Microsoft Windows Scripting Languages Remote Code Execution Vulnerability
Beschreibung
CVE-2022-41128 ist eine Schwachstelle zur Remote-Codeausführung in den Windows Scripting Languages von Microsoft. Die Sicherheitslücke basiert auf einem Out-of-bounds-Write-Fehler in der JScript9-Scripting-Engine, der es einem Angreifer ermöglicht, über eine speziell präparierte Webseite beliebigen Code auf dem Zielsystem auszuführen. Durch erfolgreiche Ausnutzung von CVE-2022-41128 kann ein Angreifer die vollständige Kontrolle über das betroffene System erlangen, einschließlich des Zugriffs auf vertrauliche Daten, der Manipulation von Dateien und der Beeinträchtigung der Systemverfügbarkeit. Die CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen, und der hohe EPSS-Score von 39,8 % (97. Perzentil) unterstreicht die erhebliche Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19567 |
| microsoft | windows 10 1607 | < 10.0.14393.5501 |
| microsoft | windows 10 1809 | < 10.0.17763.3650 |
| microsoft | windows 10 20h2 | < 10.0.19042.2251 |
| microsoft | windows 10 21h1 | < 10.0.19043.2251 |
| microsoft | windows 10 21h2 | < 10.0.19044.2251 |
| microsoft | windows 10 22h2 | < 10.0.19045.2251 |
| microsoft | windows 11 21h2 | < 10.0.22000.1219 |
| microsoft | windows 11 22h2 | < 10.0.22621.819 |
| microsoft | windows 7 | sp1 |
| microsoft | windows 8.1 | - |
| microsoft | windows server 2008 | r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.5501 |
| microsoft | windows server 2019 | < 10.0.17763.3650 |
| microsoft | windows server 2022 | < 10.0.20348.1249 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41128(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-41128(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Bei CVE-2022-41128 liegt ein Out-of-bounds-Write-Fehler in der JScript9-Scripting-Engine von Windows vor. Die Engine schreibt Daten über die Grenzen des vorgesehenen Speicherpuffers hinaus, wenn sie speziell präparierten JavaScript-Code verarbeitet, was die Ausführung von beliebigem Code im Kontext des Benutzers ermöglicht.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2022-41128 ist über das Netzwerk ausnutzbar, ohne dass physischer Zugang erforderlich ist, und die Angriffskomplexität ist gering. Es werden keine Authentifizierung oder besondere Berechtigungen benötigt, jedoch ist eine Benutzerinteraktion erforderlich — das Opfer muss eine manipulierte Webseite besuchen. Vertraulichkeit (hoch): Ein erfolgreicher Angriff ermöglicht den vollständigen Zugriff auf alle Daten des Benutzers und potenziell des gesamten Systems. Integrität (hoch): Der Angreifer kann Dateien erstellen, ändern oder löschen und Systemprozesse manipulieren. Verfügbarkeit (hoch): Das betroffene System kann zum Absturz gebracht oder für weitere Angriffe instrumentalisiert werden. Mit einem CVSS-Score von 8.8 (High) gehört diese Schwachstelle zu den kritischsten der November-2022-Patch-Runde, und der EPSS-Score von 39,8 % (97. Perzentil) signalisiert eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung. Die breite Palette betroffener Systeme von Windows 7 bis Windows Server 2022 vergrößert die Angriffsfläche erheblich.
Exploit-Reifegrad
Die CISA hat CVE-2022-41128 in den KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung dieser Schwachstelle in den Windows Scripting Languages. Der EPSS-Score von 39,8 % (97. Perzentil) ist außergewöhnlich hoch und deutet auf eine nahezu sichere Ausnutzungsaktivität hin, wobei die Schwachstelle zu den am häufigsten angegriffenen Sicherheitslücken ihres Patch-Zyklus zählt. Obwohl in den verfügbaren Referenzen kein öffentlicher Exploit-Code dokumentiert ist, legt die Kombination aus KEV-Aufnahme und hohem EPSS-Score nahe, dass Bedrohungsakteure bereits über funktionierende Exploit-Werkzeuge verfügen. Administratoren sollten die Behebung mit höchster Priorität behandeln.
Behebung
-
Sicherheitsupdates umgehend installieren: Gemäß der CISA-Empfehlung müssen die von Microsoft bereitgestellten Patches angewendet oder das betroffene Produkt außer Betrieb genommen werden. Die Updates sind über das Microsoft Security Response Center verfügbar.
-
Alle betroffenen Windows-Versionen patchen: Die Sicherheitsupdates müssen auf allen Systemen eingespielt werden, darunter Windows 7, Windows 8.1, Windows 10 (1507 bis 22H2), Windows 11 (21H2 und 22H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022.
-
JScript-Ausführung einschränken: Deaktivieren Sie die JScript-Engine auf Systemen, auf denen sie nicht benötigt wird, über die Windows-Funktionen oder durch Einschränkung der Ausführung über Software Restriction Policies. Konfigurieren Sie Internet Explorer und Legacy-Webkomponenten so, dass Active Scripting in der Internetzone deaktiviert ist.
-
Netzwerkbasierte Schutzmaßnahmen implementieren: Setzen Sie Web-Proxy-Filter und Content-Security-Richtlinien ein, um den Zugriff auf bekannte bösartige Webseiten zu blockieren. Überwachen Sie Netzwerkverkehr auf verdächtige JavaScript-Payloads und ungewöhnliche Verbindungen aus dem Browser-Kontext.
-
Überwachung und Erkennung aktivieren: Prüfen Sie Endpoint-Protokolle auf verdächtige Prozessausführungen, die von der Scripting-Engine initiiert werden. Achten Sie insbesondere auf ungewöhnliche untergeordnete Prozesse von iexplore.exe oder wscript.exe und setzen Sie EDR-Lösungen zur Erkennung von Speicherkorruptions-Exploits ein.
Technische Details
CVE-2022-41128 ist eine Out-of-bounds-Write-Schwachstelle (CWE-787) in der JScript9-Scripting-Engine, die von Windows Scripting Languages und dem Internet Explorer genutzt wird. Der Fehler tritt auf, wenn die Engine speziell konstruierten JavaScript-Code verarbeitet und dabei Daten über die vorgesehenen Speichergrenzen hinaus schreibt, was die Ausführung von beliebigem Code ermöglicht. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt, dass der Angriff netzwerkbasiert über eine präparierte Webseite erfolgt, keine Authentifizierung erfordert, aber die Benutzerinteraktion des Besuchs der Seite voraussetzt. Die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit resultieren daraus, dass der ausgeführte Code im Sicherheitskontext des aktuellen Benutzers läuft und bei Kombination mit einer Rechteausweitungs-Schwachstelle SYSTEM-Rechte erlangen kann. Die Schwachstelle betrifft alle Windows-Versionen, die die JScript9-Engine einsetzen, von Windows 7 bis Windows Server 2022.
Häufig gestellte Fragen
Wird CVE-2022-41128 aktiv ausgenutzt?
Ja, CVE-2022-41128 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen. Der EPSS-Score von 39,8 % (97. Perzentil) unterstreicht die sehr hohe Ausnutzungswahrscheinlichkeit. Ein direkter Zusammenhang mit Ransomware ist derzeit nicht bestätigt.
Welche Produkte sind von CVE-2022-41128 betroffen?
Betroffen sind alle Windows-Versionen mit JScript9-Scripting-Engine, darunter Windows 7, Windows 8.1, Windows 10 (1507 bis 22H2), Windows 11 (21H2 und 22H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Besonders gefährdet sind Systeme, auf denen der Internet Explorer oder Legacy-Scripting-Komponenten aktiv sind.
Wie behebe ich CVE-2022-41128?
Installieren Sie umgehend die Microsoft-Sicherheitsupdates über Windows Update oder das MSRC-Portal. Zusätzlich sollten Sie die JScript-Ausführung auf nicht benötigten Systemen deaktivieren und netzwerkbasierte Schutzmaßnahmen wie Web-Proxy-Filter implementieren. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2022-41128?
Mit einem CVSS-Score von 8.8 wird CVE-2022-41128 als hochkritisch (High) eingestuft und ermöglicht die Remote-Codeausführung. Der EPSS-Score liegt im 97. Perzentil, was eine der höchsten Ausnutzungswahrscheinlichkeiten überhaupt darstellt. Die Schwachstelle erlaubt die vollständige Kompromittierung des betroffenen Systems über den Besuch einer manipulierten Webseite.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.