CVE-2022-44698
Microsoft Defender SmartScreen Security Feature Bypass Vulnerability
Beschreibung
CVE-2022-44698 ist eine Sicherheitsfunktions-Umgehung in Windows SmartScreen, die es Angreifern ermöglicht, die Mark-of-the-Web-Schutzmechanismen zu umgehen. SmartScreen schützt normalerweise Benutzer vor dem Öffnen potenziell schädlicher Dateien aus dem Internet, indem es Warnungen anzeigt. Durch die Ausnutzung von CVE-2022-44698 können Angreifer diese Warnungen umgehen und schädliche Dateien ohne Sicherheitshinweise auf dem System ausführen lassen. Die Schwachstelle betrifft zahlreiche Windows-Versionen, darunter Windows 10, Windows 11 und Windows Server 2016 bis 2022. CVE-2022-44698 wurde von der CISA in den KEV-Katalog aufgenommen und ist mit Ransomware-Angriffen in Verbindung gebracht worden, was trotz des moderaten CVSS-Scores von 5.4 ihre praktische Gefährlichkeit unterstreicht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | < 10.0.14393.5582 |
| microsoft | windows 10 1809 | < 10.0.17763.3770 |
| microsoft | windows 10 20h2 | < 10.0.19042.2364 |
| microsoft | windows 10 21h1 | < 10.0.19043.2364 |
| microsoft | windows 10 21h2 | < 10.0.19044.2364 |
| microsoft | windows 10 22h2 | < 10.0.19045.2364 |
| microsoft | windows 11 21h2 | < 10.0.22000.1335 |
| microsoft | windows server 2016 | < 10.0.14393.5582 |
| microsoft | windows server 2019 | < 10.0.17763.3770 |
| microsoft | windows server 2022 | < 10.0.20348.1366 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-44698(US Government Resource)
Schwachstellentyp
Für CVE-2022-44698 wurde keine spezifische CWE-Klassifikation zugewiesen. Die Schwachstelle betrifft die Umgehung der SmartScreen-Sicherheitsfunktion in Windows, die als Schutzbarriere gegen schädliche Dateien aus dem Internet dient. Durch einen Fehler in der Verarbeitung bestimmter Dateitypen kann die Mark-of-the-Web-Markierung umgangen werden, wodurch SmartScreen-Warnungen nicht mehr angezeigt werden.
Auswirkungsanalyse
CVE-2022-44698 ist über das Netzwerk ausnutzbar ohne physischen Zugriff und die Angriffskomplexität ist gering, wobei jedoch eine Benutzerinteraktion erforderlich ist — der Nutzer muss eine manipulierte Datei öffnen oder eine schädliche Webseite besuchen. Die Auswirkungen auf Vertraulichkeit sind nicht vorhanden, während Integrität und Verfügbarkeit gering beeinträchtigt werden, was den moderaten CVSS-Score von 5.4 (MEDIUM) erklärt. Trotz dieses niedrigen Scores ist die praktische Auswirkung erheblich: Die Umgehung von SmartScreen ermöglicht es Angreifern, nachgelagerte Angriffe mit schädlicher Software durchzuführen, ohne dass der Benutzer eine Warnung erhält. Der EPSS-Score von 66,42 % deutet auf eine hohe Wahrscheinlichkeit aktiver Ausnutzung hin, und die bestätigte Verbindung zu Ransomware-Kampagnen unterstreicht, dass diese Schwachstelle als Türöffner für schwerwiegendere Angriffe dient.
Exploit-Reifegrad
CVE-2022-44698 wird von der CISA als aktiv ausgenutzt bestätigt und ist im KEV-Katalog gelistet, wobei eine ausdrückliche Verbindung zu Ransomware-Angriffen besteht. Der EPSS-Score von 66,42 % (98,49. Perzentil) zeigt eine hohe Wahrscheinlichkeit für die Ausnutzung in der Praxis an. Obwohl in den referenzierten Quellen kein öffentlicher Exploit-Code direkt verlinkt ist, ist die Ausnutzung über manipulierte Dateien mit umgangener Mark-of-the-Web-Markierung technisch gut verstanden und wird aktiv in Phishing- und Malware-Kampagnen eingesetzt.
Behebung
- Gemäß CISA-Vorgabe handeln: Wenden Sie die von Microsoft bereitgestellten Sicherheitsupdates an oder stellen Sie die Nutzung des betroffenen Produkts ein. Die Behebungsfrist war der 3. Januar 2023.
- Windows-Sicherheitsupdates installieren: Installieren Sie die im Dezember 2022 Patch Tuesday veröffentlichten Sicherheitsupdates für alle betroffenen Windows-Versionen (Windows 10 1607/1809/20H2/21H1/21H2/22H2, Windows 11 21H2, Windows Server 2016/2019/2022) über Windows Update oder den Microsoft Security Update Guide.
- E-Mail- und Web-Filterung verstärken: Implementieren Sie strikte E-Mail-Filterregeln, um Dateitypen zu blockieren, die häufig zur SmartScreen-Umgehung verwendet werden (z.B. .iso, .img, .vhd). Konfigurieren Sie Webproxys, um den Download verdächtiger Dateitypen aus unbekannten Quellen zu unterbinden.
- Endpoint-Detection überwachen: Überprüfen Sie Endpoint-Detection-Logs auf Anzeichen von Dateien ohne Mark-of-the-Web-Markierung, die aus dem Internet heruntergeladen wurden. Achten Sie besonders auf die Ausführung von Skripten oder Programmen aus Container-Dateiformaten.
- Gruppenrichtlinien härten: Konfigurieren Sie Windows-Gruppenrichtlinien, um die Ausführung von Dateien aus unsicheren Quellen weiter einzuschränken, und aktivieren Sie Attack Surface Reduction (ASR)-Regeln in Microsoft Defender.
Technische Details
CVE-2022-44698 betrifft eine Schwachstelle in der Windows SmartScreen-Sicherheitsfunktion, für die keine spezifische CWE-Klassifikation vergeben wurde. Der Angriffsvektor ist netzwerkbasiert (AV:N) mit geringer Komplexität (AC:L) und erfordert keine Privilegien (PR:N), aber eine Benutzerinteraktion (UI:R) — der Nutzer muss eine manipulierte Datei öffnen. Die Schwachstelle ermöglicht es, die Mark-of-the-Web (MOTW)-Markierung zu umgehen, die normalerweise bei aus dem Internet heruntergeladenen Dateien gesetzt wird und SmartScreen-Prüfungen auslöst. Ohne diese Markierung werden heruntergeladene Dateien als lokale, vertrauenswürdige Dateien behandelt, wodurch SmartScreen-Warnungen, Protected View in Office-Dokumenten und andere MOTW-abhängige Sicherheitsmechanismen vollständig umgangen werden. Die begrenzten Auswirkungen auf Integrität (I:L) und Verfügbarkeit (A:L) spiegeln wider, dass die Schwachstelle selbst keinen direkten Code-Execution-Mechanismus bietet, sondern als Vorbereitungsschritt für nachfolgende Angriffe dient.
Häufig gestellte Fragen
Wird CVE-2022-44698 aktiv ausgenutzt?
Ja, CVE-2022-44698 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und sie ist mit Ransomware-Kampagnen verknüpft. Der EPSS-Score von 66,42 % bestätigt eine hohe Wahrscheinlichkeit aktiver Ausnutzung in der Praxis.
Welche Produkte sind von CVE-2022-44698 betroffen?
Betroffen sind Windows 10 in den Versionen 1607, 1809, 20H2, 21H1, 21H2 und 22H2, Windows 11 21H2 sowie die Server-Versionen Windows Server 2016, 2019 und 2022. Alle Systeme mit aktivem Windows SmartScreen sind potenziell verwundbar, sofern die Sicherheitsupdates vom Dezember 2022 nicht installiert wurden.
Wie behebe ich CVE-2022-44698?
Installieren Sie die von Microsoft im Dezember 2022 veröffentlichten Sicherheitsupdates über Windows Update oder den Microsoft Update Catalog. Detaillierte Informationen finden Sie im Microsoft Security Update Guide unter der Adresse msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698.
Wie schwerwiegend ist CVE-2022-44698?
Der CVSS-Score von 5.4 (MEDIUM) stuft die Schwachstelle als moderat ein. Die praktische Gefährlichkeit ist jedoch deutlich höher, da die SmartScreen-Umgehung als Einstiegspunkt für Ransomware und andere Malware-Angriffe dient. Der hohe EPSS-Score von 66,42 % und die bestätigte Ransomware-Verbindung unterstreichen die Notwendigkeit einer zeitnahen Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.