CVE-2023-21715
Microsoft Office Publisher Security Feature Bypass Vulnerability
Beschreibung
CVE-2023-21715 ist eine Schwachstelle hoher Schwere in Microsoft Publisher, einer Komponente von Microsoft 365 Apps, die eine Umgehung von Sicherheitsfunktionen (Security Feature Bypass) ermöglicht. Die Schwachstelle basiert auf einer fehlerhaften Autorisierung (CWE-863) und erlaubt es einem authentifizierten Angreifer mit niedrigen Berechtigungen, Sicherheitsmechanismen in Microsoft Publisher zu umgehen, sofern ein Benutzer eine manipulierte Datei öffnet. Mit einem CVSS-Score von 7,3 (HIGH) und der Aufnahme in den CISA KEV-Katalog stellt CVE-2023-21715 eine bestätigte Bedrohung dar, die umgehende Aufmerksamkeit erfordert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | 365 apps | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21715(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-21715(US Government Resource)
Schwachstellentyp
CWE-863: Incorrect Authorization
CVE-2023-21715 ist der Schwachstellenklasse CWE-863 (fehlerhafte Autorisierung) zugeordnet. Diese Schwachstellenart entsteht, wenn ein System Autorisierungsprüfungen fehlerhaft implementiert und einem Akteur Zugriff auf Ressourcen oder Funktionen gewährt, die eigentlich eingeschränkt sein sollten. Im Fall von Microsoft Publisher ermöglicht die fehlerhafte Autorisierung die Umgehung von Sicherheitsmechanismen, die normalerweise verhindern sollen, dass potenziell schädlicher Code in Publisher-Dokumenten ausgeführt wird.
Weitere Informationen: CWE-863 — Incorrect Authorization
Auswirkungsanalyse
Angriffsvektor (Lokal): CVE-2023-21715 erfordert lokalen Zugriff auf das System, was bedeutet, dass der Angreifer das Opfer dazu bringen muss, eine manipulierte Datei zu öffnen — typischerweise über Phishing-E-Mails oder Social Engineering. Angriffskomplexität (Niedrig): Sobald die manipulierte Datei geöffnet wird, ist die Ausnutzung einfach und erfordert keine besonderen technischen Bedingungen. Niedrige Berechtigungen erforderlich: Der Angreifer benötigt niedrige Berechtigungen auf dem System, was die Schwelle für eine Ausnutzung senkt. Benutzerinteraktion erforderlich: Das Opfer muss aktiv eine manipulierte Publisher-Datei öffnen, damit die Schwachstelle ausgenutzt werden kann. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Bei erfolgreicher Ausnutzung kann der Angreifer die Sicherheitsmechanismen von Microsoft Publisher umgehen und potenziell beliebigen Code im Kontext des Benutzers ausführen, was zum Zugriff auf vertrauliche Daten, zur Manipulation von Dateien und zur Beeinträchtigung der Systemverfügbarkeit führen kann. Der CVSS-Score von 7,3 (HIGH) spiegelt die erhebliche Gefährdung wider, wobei die Erfordernis einer Benutzerinteraktion den Score gegenüber einer vollständig automatisierten Ausnutzung mindert.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2023-21715 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 7. März 2023 in den KEV-Katalog aufgenommen. In den verfügbaren Referenzen sind keine öffentlichen Exploit-Veröffentlichungen oder Proof-of-Concept-Code dokumentiert, jedoch belegt die KEV-Aufnahme, dass funktionsfähige Exploits existieren und in freier Wildbahn eingesetzt werden. Der EPSS-Score von 0,65 % (Perzentile: 70,53 %) deutet darauf hin, dass die Ausnutzung zwar vorkommt, aber nicht flächendeckend verbreitet ist — was auf gezielte Angriffe hindeutet, bei denen Bedrohungsakteure manipulierte Publisher-Dokumente als Einfallstor nutzen.
Behebung
- Microsoft-Sicherheitsupdate installieren: Das von Microsoft im Februar 2023 veröffentlichte Sicherheitsupdate für CVE-2023-21715 umgehend über Windows Update oder den Microsoft Update Catalog einspielen. Das Update ist über das Microsoft Security Response Center (MSRC) verfügbar.
- Microsoft 365 Apps auf aktuellen Stand bringen: Sicherstellen, dass alle Microsoft 365 Apps (einschließlich Publisher) auf die neueste Version aktualisiert sind und automatische Updates aktiviert bleiben.
- Makro-Richtlinien verschärfen: Gruppenrichtlinien konfigurieren, um die Ausführung von Makros und aktiven Inhalten in Microsoft Publisher auf signierte und vertrauenswürdige Quellen zu beschränken. Die Attack Surface Reduction (ASR)-Regeln in Microsoft Defender aktivieren.
- Benutzer sensibilisieren: Mitarbeiter über die Risiken beim Öffnen von Publisher-Dateien aus unbekannten oder nicht vertrauenswürdigen Quellen informieren. E-Mail-Filterung für Publisher-Dateianhänge (.pub) verschärfen.
- Endpunkt-Monitoring verstärken: Endpunkt-Erkennungs- und Reaktionslösungen (EDR) auf verdächtige Aktivitäten im Zusammenhang mit Microsoft Publisher überwachen, insbesondere auf ungewöhnliche Prozessaufrufe oder Dateizugriffe nach dem Öffnen von Publisher-Dokumenten.
Technische Details
Schwachstellenmechanismus: CVE-2023-21715 ist eine Security-Feature-Bypass-Schwachstelle in Microsoft Publisher, die auf einer fehlerhaften Autorisierung (CWE-863) basiert. Die genauen technischen Details wurden von Microsoft nicht vollständig offengelegt, jedoch ermöglicht die Schwachstelle die Umgehung von Sicherheitsmechanismen, die in Publisher implementiert sind, um die Ausführung potenziell schädlicher Inhalte zu verhindern. CVSS-Vektor: Der Vektorstring CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff lokal erfolgt, niedrige Berechtigungen erfordert und auf Benutzerinteraktion angewiesen ist. Der unveränderte Scope bedeutet, dass die Auswirkungen auf den Kontext des Publisher-Prozesses und des angemeldeten Benutzers beschränkt bleiben. Angriffsszenario: Ein Angreifer erstellt ein speziell präpariertes Publisher-Dokument, das beim Öffnen durch einen Benutzer die Sicherheitsprüfungen von Publisher umgeht und die Ausführung von eingebettetem Code oder Makros ermöglicht, die normalerweise blockiert würden. Dies kann als initiale Kompromittierung in einer Angriffskette dienen.
Häufig gestellte Fragen
Wird CVE-2023-21715 aktiv ausgenutzt?
Ja, CVE-2023-21715 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 7. März 2023. Der EPSS-Score von 0,65 % deutet auf gezielte statt flächendeckende Ausnutzung hin. Es handelt sich um Angriffe, bei denen manipulierte Publisher-Dokumente als Einfallstor genutzt werden.
Welche Produkte sind von CVE-2023-21715 betroffen?
Betroffen sind Microsoft 365 Apps, die Microsoft Publisher enthalten. Die Schwachstelle betrifft Publisher als Komponente des Microsoft-365-Pakets. Microsoft hat ein Sicherheitsupdate veröffentlicht, das die Schwachstelle behebt.
Wie behebe ich CVE-2023-21715?
Die primäre Maßnahme ist die Installation des Microsoft-Sicherheitsupdates vom Februar 2023 über Windows Update oder den Microsoft Update Catalog. Zusätzlich sollten Makro-Richtlinien verschärft und Benutzer über die Risiken beim Öffnen unbekannter Publisher-Dateien sensibilisiert werden. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-21715?
CVE-2023-21715 ist mit einem CVSS-Score von 7,3 als HIGH eingestuft. Die Schwachstelle ermöglicht die Umgehung von Sicherheitsmechanismen in Microsoft Publisher und kann zur Codeausführung führen, erfordert jedoch Benutzerinteraktion. Die Aufnahme in den KEV-Katalog bestätigt die reale Bedrohung durch aktive Ausnutzung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.