CVE-2023-24880
Microsoft Windows SmartScreen Security Feature Bypass Vulnerability
Beschreibung
CVE-2023-24880 ist eine Schwachstelle in Windows SmartScreen, die es Angreifern ermöglicht, den Sicherheitsschutzmechanismus zu umgehen. Die Schwachstelle wurde mit einem CVSS-Score von 4,4 (MEDIUM) bewertet und erfordert lokalen Zugriff sowie Benutzerinteraktion zur Ausnutzung. Betroffen sind zahlreiche Microsoft Windows-Versionen, darunter Windows 10, Windows 11 und Windows Server 2016, 2019 sowie 2022. Obwohl der CVSS-Score moderat ausfällt, ist die Schwachstelle im CISA KEV-Katalog gelistet und wurde ausdrücklich mit Ransomware-Aktivität in Verbindung gebracht. Die Behebungsfrist war der 4. April 2023. Der EPSS-Score von 77,29 % (Perzentile: 98,95 %) zeigt eine hohe Ausnutzungswahrscheinlichkeit an.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | < 10.0.14393.5786 |
| microsoft | windows 10 1809 | < 10.0.17763.4131 |
| microsoft | windows 10 20h2 | < 10.0.19042.2728 |
| microsoft | windows 10 21h2 | < 10.0.19044.2728 |
| microsoft | windows 10 22h2 | < 10.0.19045.2728 |
| microsoft | windows 11 21h2 | < 10.0.22000.1696 |
| microsoft | windows 11 22h2 | < 10.0.22000.1413 |
| microsoft | windows server 2016 | < 10.0.14393.5786 |
| microsoft | windows server 2019 | < 10.0.17763.4131 |
| microsoft | windows server 2022 | < 10.0.20348.1602 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24880(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-24880(US Government Resource)
Schwachstellentyp
CWE-863: Incorrect Authorization
CVE-2023-24880 ist der Schwachstellenklasse CWE-863: Incorrect Authorization zugeordnet. Bei dieser Klasse führt ein System Autorisierungsprüfungen fehlerhaft durch, sodass Akteure Aktionen ausführen oder auf Ressourcen zugreifen können, die ihnen nicht gestattet sein sollten.
Im Fall von CVE-2023-24880 umgeht die Schwachstelle die Sicherheitsprüfung von Windows SmartScreen, einem Schutzmechanismus, der Benutzer vor dem Öffnen potenziell schädlicher Dateien warnt. SmartScreen prüft normalerweise das Mark of the Web (MotW) und den Ruf einer Datei, bevor sie ausgeführt wird. Durch die fehlerhafte Autorisierungslogik können speziell gestaltete Dateien diese Prüfung umgehen und ohne SmartScreen-Warnung ausgeführt werden.
Auswirkungsanalyse
Vertraulichkeit (Keine laut CVSS): Der CVSS-Vektor gibt keine direkte Auswirkung auf die Vertraulichkeit an. Die SmartScreen-Umgehung selbst legt keine Daten offen, kann jedoch als Einfallstor für nachfolgende Angriffe dienen, die vertrauliche Daten kompromittieren.
Integrität (Niedrig): Die Schwachstelle beeinträchtigt die Integrität des Windows-Sicherheitsmodells, indem sie den SmartScreen-Schutzmechanismus umgeht. Benutzer werden nicht wie vorgesehen vor potenziell schädlichen Dateien gewarnt, was das Ausführen von Malware erleichtert.
Verfügbarkeit (Niedrig): Die direkte Verfügbarkeitsauswirkung ist gering, jedoch kann die Ausführung von Malware, die durch die SmartScreen-Umgehung ermöglicht wird, erhebliche Verfügbarkeitsprobleme verursachen, insbesondere bei Ransomware-Angriffen.
Die besondere Gefährdung durch CVE-2023-24880 liegt nicht im CVSS-Score selbst, sondern in der Rolle als Angriffsvektor in Exploit-Ketten. SmartScreen ist eine wichtige Verteidigungsebene gegen Social-Engineering-Angriffe. Die Umgehung dieses Mechanismus ermöglicht es Angreifern, Malware und insbesondere Ransomware ohne die übliche Benutzerwarnung auszuführen. Die bestätigte Ransomware-Assoziation im KEV-Katalog belegt die reale Ausnutzung in solchen Angriffsketten.
Exploit-Reifegrad
CVE-2023-24880 weist eine hohe Ausnutzungsreife auf. Der EPSS-Score beträgt 77,29 % (Perzentile: 98,95 %), was eine signifikante Ausnutzungswahrscheinlichkeit anzeigt. Die CISA hat die Schwachstelle mit einer ausdrücklichen Ransomware-Assoziation in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 4. April 2023.
Die Schwachstelle wird aktiv in Ransomware-Kampagnen eingesetzt, typischerweise als Teil einer mehrstufigen Angriffskette. Angreifer verteilen speziell gestaltete Dateien über Phishing-E-Mails oder kompromittierte Webseiten. Da die Dateien die SmartScreen-Warnung umgehen, ist die Wahrscheinlichkeit der Benutzerinteraktion (Datei öffnen) deutlich höher als bei Angriffen, bei denen SmartScreen aktiv warnt. Die Ausnutzung erfordert zwar lokalen Zugriff und Benutzerinteraktion, wird aber durch Social Engineering effektiv unterstützt.
Behebung
- Microsoft-Sicherheitsupdate installieren: Sofortige Installation des von Microsoft bereitgestellten Patches für CVE-2023-24880 über Windows Update oder den Microsoft Update Catalog.
- Alle betroffenen Windows-Versionen aktualisieren: Sicherstellen, dass alle Windows-10-, Windows-11- und Windows-Server-Systeme auf dem neuesten Patchstand sind.
- Gruppenrichtlinien für SmartScreen prüfen: Sicherstellen, dass SmartScreen über Gruppenrichtlinien aktiviert und korrekt konfiguriert ist. SmartScreen-Einstellungen sollten auf Blockieren oder Warnen gesetzt sein.
- E-Mail-Sicherheit verstärken: Phishing-Filter und Anhangsprüfungen verschärfen, um die Verbreitung manipulierter Dateien zu reduzieren.
- Endpoint-Detection-and-Response (EDR) einsetzen: EDR-Lösungen konfigurieren, um verdächtige Dateiausführungen unabhängig vom SmartScreen-Status zu erkennen.
- Benutzer sensibilisieren: Mitarbeiter über die Gefahren beim Öffnen unbekannter Dateien informieren, insbesondere solche, die aus E-Mails oder dem Internet stammen.
- Netzwerksegmentierung und Backup-Strategie: Angesichts der Ransomware-Assoziation sicherstellen, dass Offline-Backups vorhanden sind und kritische Systeme netzwerktechnisch segmentiert sind.
Technische Details
Technischer Hintergrund: CVE-2023-24880 betrifft Windows SmartScreen, eine Sicherheitsfunktion in Microsoft Windows, die Benutzer vor dem Ausführen potenziell schädlicher Dateien warnt. SmartScreen arbeitet mit dem Mark of the Web (MotW) zusammen, einem Attribut, das Windows an Dateien anfügt, die aus dem Internet oder von E-Mail-Anhängen stammen.
Ausnutzungsmechanismus: Die Schwachstelle basiert auf einer fehlerhaften Autorisierungsprüfung (CWE-863) in der SmartScreen-Logik. Durch speziell gestaltete Dateien kann ein Angreifer die SmartScreen-Überprüfung umgehen, sodass die Datei ohne die übliche Sicherheitswarnung ausgeführt wird. Der Benutzer sieht nicht den typischen SmartScreen-Dialog, der vor einer potenziell unsicheren Datei warnt.
Betroffene Versionen: Die Schwachstelle betrifft eine Vielzahl von Windows-Versionen, darunter Windows 10 (Versionen 1607, 1809, 20H2, 21H2, 22H2), Windows 11 (Versionen 21H2, 22H2) und Windows Server 2016, 2019 sowie 2022. Die breite Betroffenheit vergrößert die Angriffsfläche erheblich.
Rolle in Angriffsketten: CVE-2023-24880 wird typischerweise nicht als eigenständiger Angriff verwendet, sondern als Teil mehrstufiger Exploit-Ketten, insbesondere in Ransomware-Kampagnen. Der Angreifer verteilt eine manipulierte Datei (z. B. per Phishing-E-Mail), die dank der SmartScreen-Umgehung ohne Warnung ausgeführt wird und dann die eigentliche Malware-Nutzlast nachlädt oder ausführt.
Häufig gestellte Fragen
Wird CVE-2023-24880 aktiv ausgenutzt?
Ja, CVE-2023-24880 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog mit ausdrücklicher Ransomware-Assoziation gelistet, mit einer Behebungsfrist bis zum 4. April 2023. Der EPSS-Score von 77,29 % bestätigt die hohe Ausnutzungswahrscheinlichkeit, und die Schwachstelle wird in realen Ransomware-Kampagnen eingesetzt.
Welche Produkte sind von CVE-2023-24880 betroffen?
Betroffen sind zahlreiche Microsoft Windows-Versionen: Windows 10 (Versionen 1607, 1809, 20H2, 21H2, 22H2), Windows 11 (Versionen 21H2, 22H2) und Windows Server 2016, 2019 sowie 2022. Die breite Betroffenheit macht ein zeitnahes Patchen für alle Windows-Umgebungen erforderlich.
Wie behebe ich CVE-2023-24880?
Die Behebung erfordert die Installation des Microsoft-Sicherheitsupdates für CVE-2023-24880 über Windows Update. Alle betroffenen Windows-Versionen müssen aktualisiert werden. Zusätzlich sollten SmartScreen-Richtlinien geprüft und Endpoint-Schutzlösungen gegen Ransomware konfiguriert werden.
Wie schwerwiegend ist CVE-2023-24880?
Trotz des moderaten CVSS-Scores von 4,4 (MEDIUM) ist CVE-2023-24880 in der Praxis hochgefährlich, da die Schwachstelle aktiv in Ransomware-Kampagnen eingesetzt wird. Die SmartScreen-Umgehung dient als Einfallstor für nachfolgende schwerwiegende Angriffe, was die Aufnahme in den CISA KEV-Katalog mit Ransomware-Kennzeichnung begründet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.