CVE-2023-36036
Microsoft Windows Cloud Files Mini Filter Driver Privilege Escalation Vulnerability
Beschreibung
CVE-2023-36036 ist eine Sicherheitslücke vom Typ Heap-basierter Pufferüberlauf (Heap-based Buffer Overflow) im Windows Cloud Files Mini Filter Driver von Microsoft. Diese Schwachstelle ermöglicht es einem authentifizierten Angreifer mit lokalen Berechtigungen, eine Rechteausweitung (Elevation of Privilege) auf dem betroffenen System durchzuführen und so vollständige Kontrolle über das System zu erlangen. Die Sicherheitslücke CVE-2023-36036 betrifft eine breite Palette von Microsoft Windows-Versionen, darunter Windows 10, Windows 11 und Windows Server 2008 bis 2022. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen, was bestätigt, dass sie aktiv in freier Wildbahn ausgenutzt wird. Mit einem CVSS-Score von 7.8 (HIGH) stellt diese Pufferüberlauf-Schwachstelle ein erhebliches Risiko für Windows-Umgebungen dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20308 |
| microsoft | windows 10 1607 | < 10.0.14393.6452 |
| microsoft | windows 10 1809 | < 10.0.17763.5122 |
| microsoft | windows 10 21h2 | < 10.0.19041.3693 |
| microsoft | windows 10 22h2 | < 10.0.19045.3693 |
| microsoft | windows 11 21h2 | < 10.0.22000.2600 |
| microsoft | windows 11 22h2 | < 10.0.22621.2715 |
| microsoft | windows 11 23h2 | < 10.0.22621.2715 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.6452 |
| microsoft | windows server 2019 | < 10.0.17763.5122 |
| microsoft | windows server 2022 | < 10.0.20348.2113 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36036(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-36036(US Government Resource)
Schwachstellentyp
CWE-122: Heap-based Buffer Overflow
Bei CVE-2023-36036 tritt ein Heap-basierter Pufferüberlauf im Windows Cloud Files Mini Filter Driver auf. Dabei werden Daten über die Grenzen eines auf dem Heap allozierten Puffers hinaus geschrieben, was einem Angreifer die Manipulation des Speichers und letztlich die Ausführung von Code mit erhöhten Privilegien ermöglicht.
Mehr erfahren: CWE-122 — Heap-based Buffer Overflow
CWE-787: Out-of-bounds Write
Die Schwachstelle beinhaltet zudem ein Out-of-bounds Write, bei dem der Cloud Files Mini Filter Driver Daten außerhalb des vorgesehenen Speicherbereichs schreibt. Dies kann zu Speicherkorruption führen und einem lokalen Angreifer die Rechteausweitung auf dem Windows-System ermöglichen.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
Die Schwachstelle CVE-2023-36036 erfordert lokalen Zugriff auf das System, ist jedoch bei geringer Angriffskomplexität leicht auszunutzen und benötigt keine Benutzerinteraktion. Ein Angreifer benötigt lediglich niedrige Privilegien (z. B. ein Standardbenutzerkonto), um den Exploit durchzuführen. Vertraulichkeit (Hoch): Bei erfolgreicher Ausnutzung kann der Angreifer auf vertrauliche Systemdaten und Benutzerdaten zugreifen. Integrität (Hoch): Der Angreifer kann Systemdateien und -konfigurationen manipulieren, was die Integrität des gesamten Systems gefährdet. Verfügbarkeit (Hoch): Die Ausnutzung kann zu Systemabstürzen oder einem vollständigen Ausfall des betroffenen Systems führen. Mit einem CVSS-Score von 7.8 (HIGH) und der Bestätigung aktiver Ausnutzung durch die CISA sollte die Behebung dieser Schwachstelle priorisiert werden.
Exploit-Reifegrad
Die CISA hat CVE-2023-36036 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und damit bestätigt, dass diese Schwachstelle aktiv in freier Wildbahn ausgenutzt wird — die Behebungsfrist war der 5. Dezember 2023. Obwohl in den verfügbaren Referenzen keine öffentlichen Exploit-Codes oder Proof-of-Concept-Exploits verlinkt sind, belegt die Aufnahme in den KEV-Katalog die aktive Ausnutzung. Der EPSS-Score von 0,92 % (75. Perzentil) deutet auf eine moderate Ausnutzungswahrscheinlichkeit hin, die jedoch durch die bestätigte aktive Ausnutzung relativiert wird. Ob die Schwachstelle im Zusammenhang mit Ransomware eingesetzt wird, ist derzeit nicht bekannt.
Behebung
- Sicherheitsupdates von Microsoft installieren: Gemäß der KEV-Anweisung der CISA umgehend die von Microsoft bereitgestellten Patches anwenden. Die entsprechenden Updates sind über das Microsoft Security Response Center verfügbar und decken alle betroffenen Versionen ab.
- Alle betroffenen Windows-Versionen patchen: Dies umfasst Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2, 23H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Priorisieren Sie Server-Systeme aufgrund ihres höheren Risikoprofils.
- Zwischenzeitliche Einschränkung lokaler Zugriffe: Da die Schwachstelle lokalen Zugriff und niedrige Privilegien erfordert, beschränken Sie lokale Anmeldeberechtigungen auf das notwendige Minimum und überprüfen Sie Dienstkonten mit Zugriff auf das Dateisystem.
- Überwachung auf ungewöhnliche Aktivitäten: Analysieren Sie Windows-Ereignisprotokolle auf verdächtige Aktivitäten im Zusammenhang mit dem Cloud Files Mini Filter Driver (cldflt.sys). Achten Sie auf unerwartete Rechteausweitungen oder Prozesse, die unter SYSTEM-Privilegien laufen.
- Speicherschutz-Mechanismen aktivieren: Stellen Sie sicher, dass Windows-Schutzmechanismen wie ASLR (Address Space Layout Randomization) und DEP (Data Execution Prevention) aktiviert sind, um die Ausnutzung von Pufferüberlauf-Schwachstellen zu erschweren.
Technische Details
CVE-2023-36036 basiert auf einem Heap-basierten Pufferüberlauf (CWE-122) in Kombination mit einem Out-of-bounds Write (CWE-787) im Windows Cloud Files Mini Filter Driver (cldflt.sys). Der Treiber ist für die Handhabung von Cloud-basierten Dateisystem-Operationen zuständig und verarbeitet dabei Daten, ohne die Puffergrenzen korrekt zu validieren. Gemäß dem CVSS-Vektor (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) erfordert die Ausnutzung zwar lokalen Zugriff mit niedrigen Privilegien, doch die Angriffskomplexität ist gering und es ist keine Benutzerinteraktion nötig. Die beiden CWE-Klassifikationen beschreiben verwandte Aspekte derselben Schwachstelle: CWE-122 identifiziert den spezifischen Speicherbereich (Heap), in dem der Überlauf stattfindet, während CWE-787 die allgemeinere Kategorie des Schreibens außerhalb der vorgesehenen Speichergrenzen beschreibt. Durch die gezielte Manipulation des Heap-Speichers kann ein Angreifer die Kontrollstrukturen des Treibers überschreiben und so Code im Kernel-Kontext ausführen, was zur vollständigen Rechteausweitung führt.
Häufig gestellte Fragen
Wird CVE-2023-36036 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-36036 in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Die Behebungsfrist war der 5. Dezember 2023. Ob die Schwachstelle im Zusammenhang mit Ransomware verwendet wird, ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2023-36036 betroffen?
Betroffen sind zahlreiche Microsoft Windows-Versionen: Windows 10 (Versionen 1507, 1607, 1809, 21H2 und 22H2), Windows 11 (Versionen 21H2, 22H2 und 23H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Die Schwachstelle befindet sich im Cloud Files Mini Filter Driver, der in all diesen Windows-Versionen vorhanden ist.
Wie behebe ich CVE-2023-36036?
Installieren Sie umgehend die Sicherheitsupdates von Microsoft, die über das Microsoft Security Response Center verfügbar sind. Priorisieren Sie dabei Server-Systeme und schränken Sie bis zur Installation der Patches lokale Anmeldeberechtigungen ein. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-36036?
CVE-2023-36036 hat einen CVSS-Score von 7.8 und wird als HIGH eingestuft. Die Schwachstelle ermöglicht eine vollständige Rechteausweitung auf dem betroffenen System. Der EPSS-Score liegt im 75. Perzentil, und die bestätigte aktive Ausnutzung durch die CISA unterstreicht die Dringlichkeit der Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.