CVE-2023-21823
Microsoft Windows Graphic Component Privilege Escalation Vulnerability
Beschreibung
CVE-2023-21823 ist eine Schwachstelle vom Typ Integer Overflow in der Windows Graphics Component von Microsoft, die eine Remote-Codeausführung ermöglicht. Die Sicherheitslücke betrifft nahezu alle unterstützten Windows-Versionen, darunter Windows 10, Windows 11 sowie Windows Server 2008 bis 2022. Ein Angreifer mit eingeschränkten lokalen Rechten kann diese Schwachstelle ohne Benutzerinteraktion ausnutzen, um beliebigen Code auszuführen und die Kontrolle über das System zu übernehmen. CVE-2023-21823 wurde von der CISA in den KEV-Katalog aufgenommen, da sie aktiv in freier Wildbahn ausgenutzt wird. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score von 4,2 % im 88. Perzentil besteht eine erhöhte Exploitationswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19747 |
| microsoft | windows 10 1607 | < 10.0.14393.5717 |
| microsoft | windows 10 1809 | < 10.0.17763.4010 |
| microsoft | windows 10 20h2 | < 10.0.19042.2604 |
| microsoft | windows 10 21h2 | < 10.0.19044.2604 |
| microsoft | windows 10 22h2 | < 10.0.19045.2604 |
| microsoft | windows 11 21h2 | < 10.0.22000.1574 |
| microsoft | windows 11 22h2 | < 10.0.22621.1265 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
| microsoft | windows server 2022 | - |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21823(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-21823(US Government Resource)
Schwachstellentyp
CWE-190: Integer Overflow or Wraparound
Bei CVE-2023-21823 tritt ein Integer Overflow in der Windows Graphics Component auf, bei dem ein Ganzzahlwert seinen maximalen Wertebereich überschreitet und unerwartet umschlägt (Wraparound). Im Kontext der Grafikverarbeitung kann dies zu fehlerhaften Speicherallokationen führen, die anschließend für die Ausführung von beliebigem Code missbraucht werden können.
Mehr erfahren: CWE-190 — Integer Overflow or Wraparound
Auswirkungsanalyse
CVE-2023-21823 erhält mit einem CVSS-Score von 7.8 die Bewertung HIGH und stellt ein erhebliches Sicherheitsrisiko dar. Die Schwachstelle erfordert lokalen Zugriff (Attack Vector: Local) auf das System, ist jedoch mit geringer Angriffskomplexität (Attack Complexity: Low) leicht auszunutzen und benötigt lediglich niedrige Berechtigungen (Privileges Required: Low) ohne Benutzerinteraktion. Vertraulichkeit (High): Ein erfolgreicher Angriff ermöglicht den vollständigen Zugriff auf sensible Systemdaten, da der Angreifer durch die Codeausführung erweiterte Rechte erlangen kann. Integrität (High): Der Angreifer kann beliebige Systemdateien und -konfigurationen manipulieren. Verfügbarkeit (High): Das betroffene System kann zum Absturz gebracht oder vollständig kompromittiert werden. Da die Windows Graphics Component ein zentraler Systembestandteil ist, betrifft diese Schwachstelle alle Anwendungen, die Grafikoperationen durchführen.
Exploit-Reifegrad
CVE-2023-21823 wird aktiv in freier Wildbahn ausgenutzt, wie die Aufnahme in den CISA KEV-Katalog durch Microsoft bestätigt. Der EPSS-Score von 4,2 % (88. Perzentil) zeigt eine überdurchschnittliche Exploitationswahrscheinlichkeit im Vergleich zu anderen bekannten Schwachstellen. In den verfügbaren Referenzen sind keine öffentlichen Exploit-Codes oder Proof-of-Concepts verlinkt, was darauf hindeutet, dass die Ausnutzung bisher durch spezialisierte Akteure erfolgt. Angesichts der bestätigten aktiven Exploitation ist jedoch davon auszugehen, dass funktionale Exploits in geschlossenen Kreisen existieren.
Behebung
- Sicherheitsupdates umgehend installieren: Gemäß der CISA-KEV-Empfehlung müssen Maßnahmen gemäß den Herstelleranweisungen angewendet oder das Produkt außer Betrieb genommen werden. Microsoft stellt über das Security Update Guide Patches für alle betroffenen Versionen bereit.
- Alle betroffenen Windows-Versionen priorisieren: Aktualisieren Sie Windows 10 (1507 bis 22H2), Windows 11 (21H2 und 22H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Server-Systeme sollten aufgrund ihrer kritischen Funktion priorisiert werden.
- Zwischenmaßnahmen umsetzen: Beschränken Sie den lokalen Zugriff auf betroffene Systeme auf das erforderliche Minimum. Deaktivieren Sie, sofern möglich, nicht benötigte Grafikfunktionen oder schränken Sie die Verarbeitung nicht vertrauenswürdiger Grafikdateien ein.
- Monitoring und Erkennung: Überwachen Sie Windows-Ereignisprotokolle auf verdächtige Aktivitäten der Graphics Component, insbesondere ungewöhnliche Prozesserstellungen oder Speicherzugriffsverletzungen. Prüfen Sie Systeme auf Indicators of Compromise (IOCs).
- Langfristige Härtung: Implementieren Sie Address Space Layout Randomization (ASLR) und Data Execution Prevention (DEP) konsequent auf allen Systemen, um die Ausnutzung von Speicherfehlern zu erschweren. Setzen Sie Exploit-Protection-Richtlinien über Microsoft Defender ein.
Technische Details
CVE-2023-21823 basiert auf einem Integer Overflow (CWE-190) in der Windows Graphics Component, einer zentralen Systemkomponente für die Grafikverarbeitung. Bei einem Integer Overflow überschreitet ein Ganzzahlwert seinen maximalen Bereich und schlägt auf einen niedrigeren Wert um (Wraparound), was zu einer fehlerhaften Berechnung der Puffergröße führen kann. Gemäß dem CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) benötigt ein Angreifer lokalen Zugriff mit niedrigen Berechtigungen, kann die Schwachstelle jedoch ohne besondere Vorbedingungen oder Benutzerinteraktion ausnutzen. Der Overflow in der Grafikverarbeitung führt wahrscheinlich zu einer zu kleinen Speicherallokation, gefolgt von einem Heap-basierten Pufferüberlauf, der die Ausführung von beliebigem Code ermöglicht. Da die Schwachstelle im Scope Unchanged klassifiziert ist, bleibt der Angriff auf die Berechtigungsebene der kompromittierten Komponente beschränkt, ermöglicht aber dennoch vollständigen Zugriff auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2023-21823 aktiv ausgenutzt?
Ja, CVE-2023-21823 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in ihren Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 7. März 2023. Der Ransomware-Status ist als "Unknown" gekennzeichnet, jedoch sollte die bestätigte aktive Exploitation Anlass zu sofortigem Handeln sein.
Welche Produkte sind von CVE-2023-21823 betroffen?
CVE-2023-21823 betrifft nahezu alle aktuell unterstützten Microsoft Windows-Versionen. Dazu gehören Windows 10 (Versionen 1507, 1607, 1809, 20H2, 21H2, 22H2), Windows 11 (21H2, 22H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Sowohl Desktop- als auch Server-Varianten sind betroffen.
Wie behebe ich CVE-2023-21823?
Installieren Sie umgehend die von Microsoft bereitgestellten Sicherheitsupdates über das Microsoft Security Update Guide. Priorisieren Sie Server-Systeme und beschränken Sie den lokalen Zugriff auf betroffene Systeme bis zur Patch-Installation. Detaillierte Maßnahmen finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-21823?
Mit einem CVSS-Score von 7.8 (HIGH) ist CVE-2023-21823 eine schwerwiegende Sicherheitslücke. Der EPSS-Score von 4,2 % (88. Perzentil) zeigt eine überdurchschnittliche Exploitationswahrscheinlichkeit. Die bestätigte aktive Ausnutzung in Verbindung mit der weiten Verbreitung von Windows macht eine zeitnahe Behebung unerlässlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.