CVE-2023-21674
Microsoft Windows Advanced Local Procedure Call (ALPC) Privilege Escalation Vulnerability
Beschreibung
CVE-2023-21674 ist eine schwerwiegende Elevation-of-Privilege-Schwachstelle in der Windows Advanced Local Procedure Call (ALPC)-Schnittstelle, die auf einem Use-After-Free-Fehler (CWE-416) basiert. Die Schwachstelle betrifft eine Vielzahl von Microsoft Windows-Versionen, darunter Windows 10, Windows 11 und Windows Server 2012 bis 2022. Ein lokaler Angreifer mit niedrigen Berechtigungen kann durch Ausnutzung dieser Schwachstelle seine Privilegien ausweiten und Auswirkungen über die verwundbare Komponente hinaus erzielen (Scope: Changed). Mit einem CVSS-Score von 8.8 und der Aufnahme in den CISA KEV-Katalog besteht dringender Handlungsbedarf für alle Windows-Umgebungen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19685 |
| microsoft | windows 10 1607 | < 10.0.14393.5648 |
| microsoft | windows 10 1809 | < 10.0.17763.3887 |
| microsoft | windows 10 20h2 | < 10.0.19042.2486 |
| microsoft | windows 10 21h2 | < 10.0.19044.2486 |
| microsoft | windows 10 22h2 | < 10.0.19045.2486 |
| microsoft | windows 11 21h2 | < 10.0.22000.1455 |
| microsoft | windows 11 22h2 | < 10.0.22621.1105 |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2012 | r2 |
| microsoft | windows server 2016 | < 10.0.14393.5648 |
| microsoft | windows server 2019 | < 10.0.17763.3887 |
| microsoft | windows server 2022 | < 10.0.20348.1487 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21674(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-21674(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
Bei CVE-2023-21674 liegt ein Use-After-Free-Fehler in der Windows ALPC-Implementierung vor. Dies bedeutet, dass ein Speicherbereich nach seiner Freigabe weiterhin referenziert und verwendet wird, wodurch ein Angreifer die Kontrolle über den freigegebenen Speicherbereich erlangen und beliebigen Code mit erhöhten Berechtigungen ausführen kann.
Mehr erfahren: CWE-416 — Use After Free
Auswirkungsanalyse
Angriffsvektor (Lokal): CVE-2023-21674 erfordert lokalen Zugriff auf das betroffene System und kann nicht direkt über das Netzwerk ausgenutzt werden. Angriffskomplexität (Niedrig): Die Ausnutzung erfordert keine besonderen Bedingungen — der Use-After-Free-Fehler kann unter normalen Betriebsbedingungen ausgelöst werden. Authentifizierung erforderlich (Niedrig): Der Angreifer benötigt einen lokalen Benutzerzugang mit niedrigen Berechtigungen als Ausgangspunkt. Keine Benutzerinteraktion nötig: Der Angriff kann ohne Mitwirkung anderer Benutzer durchgeführt werden. Scope (Changed): Besonders kritisch ist, dass die Ausnutzung Auswirkungen über die verwundbare ALPC-Komponente hinaus haben kann — der Angreifer kann aus der ursprünglichen Sicherheitsdomäne ausbrechen, etwa aus einer Browser-Sandbox. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Ein erfolgreicher Angriff ermöglicht vollständige Systemkontrolle mit SYSTEM-Rechten. Der CVSS-Score von 8.8 und der EPSS-Score von 12,4 % (93,75. Perzentil) belegen die erhebliche Bedrohung.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2023-21674 in freier Wildbahn bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 31. Januar 2023. Es sind keine öffentlichen Exploit-Codes in den Referenzen verlinkt, was darauf hindeutet, dass die aktive Ausnutzung bisher durch gezielte Angriffe (Targeted Attacks) erfolgt. Der EPSS-Score von 12,4 % (93,75. Perzentil) zeigt eine erhöhte Ausnutzungswahrscheinlichkeit, wobei die lokale Angriffsvoraussetzung die Verbreitung im Vergleich zu netzwerkbasierten Schwachstellen einschränkt.
Behebung
- Sofort-Maßnahme gemäß CISA-KEV: Wenden Sie die von Microsoft bereitgestellten Sicherheitsupdates an oder stellen Sie die Nutzung der betroffenen Windows-Versionen ein, falls keine Patches verfügbar sind. Die Behebungsfrist der CISA war der 31. Januar 2023.
- Microsoft-Sicherheitsupdate installieren: Installieren Sie das entsprechende kumulative Update für alle betroffenen Windows-Versionen (Windows 10 1507/1607/1809/20H2/21H2/22H2, Windows 11 21H2/22H2, Windows RT 8.1, Windows Server 2012/2016/2019/2022) gemäß dem Microsoft Security Update Guide.
- Zugriffsbeschränkung und Härtung: Beschränken Sie lokale Benutzerberechtigungen nach dem Prinzip der geringsten Berechtigung. Deaktivieren Sie nicht benötigte Dienste und Funktionen, um die Angriffsfläche zu reduzieren.
- Überwachung und Erkennung: Aktivieren Sie erweiterte Audit-Protokollierung für ALPC-Aufrufe und überwachen Sie Systeme auf verdächtige Privilegien-Eskalationsversuche. Nutzen Sie Endpoint Detection and Response (EDR)-Lösungen zur Erkennung von Exploitversuchen.
- Langfristige Härtung: Implementieren Sie Application Control-Richtlinien (z. B. Windows Defender Application Control) und halten Sie alle Windows-Systeme durch regelmäßige Patch-Zyklen aktuell. Setzen Sie auf Exploit-Mitigation-Technologien wie Control Flow Guard (CFG) und Address Space Layout Randomization (ASLR).
Technische Details
Schwachstellenmechanismus: CVE-2023-21674 basiert auf einem Use-After-Free-Fehler (CWE-416) in der Windows ALPC-Implementierung (Advanced Local Procedure Call). ALPC ist ein Interprozesskommunikations-Mechanismus im Windows-Kernel, der von zahlreichen Systemkomponenten genutzt wird. Der Fehler tritt auf, wenn ein ALPC-Objekt im Speicher freigegeben wird, ein Zeiger darauf jedoch weiterhin verwendet wird, sodass ein Angreifer den freigegebenen Speicherbereich mit kontrollierten Daten überschreiben kann. Angriffsvektor: Gemäß dem CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H erfolgt der Angriff lokal, wobei die Scope-Änderung (Changed) besonders bemerkenswert ist — der Angreifer kann aus einer Sicherheitsdomäne wie einer Browser-Sandbox ausbrechen und SYSTEM-Rechte erlangen. Technische Auswirkung: Durch die gezielte Manipulation des freigegebenen Speichers kann der Angreifer beliebigen Code im Kernel-Kontext ausführen, was eine vollständige Kompromittierung des betroffenen Systems ermöglicht.
Häufig gestellte Fragen
Wird CVE-2023-21674 aktiv ausgenutzt?
Ja, CVE-2023-21674 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen, was eine bestätigte aktive Ausnutzung in freier Wildbahn belegt. Der EPSS-Score von 12,4 % im 93,75. Perzentil weist auf eine erhöhte, aber nicht maximale Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2023-21674 betroffen?
Betroffen sind zahlreiche Microsoft Windows-Versionen: Windows 10 (Versionen 1507, 1607, 1809, 20H2, 21H2, 22H2), Windows 11 (21H2 und 22H2), Windows RT 8.1 sowie Windows Server 2012, 2016, 2019 und 2022. Praktisch alle gängigen Windows-Installationen mit der ALPC-Komponente sind betroffen.
Wie behebe ich CVE-2023-21674?
Installieren Sie umgehend das kumulative Sicherheitsupdate von Microsoft für Ihre betroffene Windows-Version über den Microsoft Security Update Guide. Ergänzen Sie dies durch Zugriffsbeschränkungen und Endpoint-Überwachung. Detaillierte Schritte finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-21674?
CVE-2023-21674 ist als schwerwiegend eingestuft mit einem CVSS-Score von 8.8 von 10. Besonders kritisch ist der Scope-Wechsel (Changed), der es Angreifern ermöglicht, aus Sicherheitsdomänen auszubrechen und SYSTEM-Rechte zu erlangen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.