CVE-2023-36424
Microsoft Windows Out-of-Bounds Read Vulnerability
Beschreibung
CVE-2023-36424 ist eine Out-of-Bounds-Read-Schwachstelle mit hoher Schwere (HIGH) im Windows Common Log File System (CLFS)-Treiber, die lokale Rechteausweitung auf Microsoft Windows ermöglicht. Die Lücke hat einen CVSS-3.1-Score von 7.8 und betrifft eine breite Palette von Windows-Client- und -Server-Versionen, darunter Windows 10, Windows 11 sowie Windows Server 2008 bis 2022. Ein authentifizierter lokaler Angreifer mit niedrigen Rechten kann CVE-2023-36424 ausnutzen, um SYSTEM-Rechte zu erlangen und damit die vollständige Kontrolle über den betroffenen Host zu übernehmen. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog gelistet, was aktive Ausnutzung in freier Wildbahn bestätigt, und ihr EPSS-Score von 0.05545 (90,3. Perzentil) signalisiert ein erhöhtes Risiko anhaltender Angriffe.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20308 |
| microsoft | windows 10 1607 | < 10.0.14393.6452 |
| microsoft | windows 10 1809 | < 10.0.17763.5122 |
| microsoft | windows 10 21h2 | < 10.0.19044.3693 |
| microsoft | windows 10 22h2 | < 10.0.19045.3693 |
| microsoft | windows 11 21h2 | < 10.0.22000.2600 |
| microsoft | windows 11 22h2 | < 10.0.22621.2715 |
| microsoft | windows 11 23h2 | < 10.0.22631.2715 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.6452 |
| microsoft | windows server 2019 | < 10.0.17763.5122 |
| microsoft | windows server 2022 | < 10.0.20348.2091 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.531 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36424(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-36424(US Government Resource)
Schwachstellentyp
CWE-125: Out-of-bounds-Lesen
CVE-2023-36424 ist unter CWE-125 — Out-of-bounds-Lesen klassifiziert. Diese Schwäche tritt auf, wenn Software Daten von einer Speicherstelle außerhalb der beabsichtigten Grenzen eines Puffers liest, typischerweise weil Array-Indizes, Pointer-Arithmetik oder Puffer-Offsets falsch berechnet oder nicht ordnungsgemäß validiert werden. Im Windows Common Log File System-Treiber führt eine angreifergesteuerte Log-Struktur dazu, dass der Kernel über den zugewiesenen Puffer hinaus liest und dabei Speicherinhalte preisgibt, die zur Umgehung von Kernel-Schutzmechanismen und zur Eskalation auf SYSTEM-Rechte genutzt werden können.
Learn more: CWE-125 — Out-of-bounds-Lesen
Auswirkungsanalyse
CVE-2023-36424 hat einen CVSS-3.1-Score von 7.8 (HIGH) mit unverändertem Scope, das heißt die Auswirkungen bleiben auf die verwundbare Windows-Kernel-Komponente beschränkt, sind auf einem einzelnen Host jedoch erheblich. Attack Vector (Local): der Angreifer benötigt bereits Codeausführung auf dem Zielsystem, typischerweise als Standardnutzer; eine entfernte Ausnutzung ist nicht möglich. Attack Complexity (Low): keine besonderen Timing-, Konfigurations- oder Umgebungsbedingungen sind erforderlich, um den Out-of-Bounds-Read auszulösen. Privileges Required (Low): ein einfacher authentifizierter Benutzer genügt, sodass jede Malware im Benutzerkontext oder ein angemeldeter Angreifer die Schwachstelle waffenfähig machen kann. User Interaction (None): nach dem Start des Exploits ist keine weitere Aktion des Opfers erforderlich. Confidentiality, Integrity und Availability (jeweils High): erfolgreiche Ausnutzung verschafft vollständige SYSTEM-Rechte auf Microsoft Windows und erlaubt Angreifern, beliebige Daten auf dem Host zu lesen, persistente Implantate zu installieren, Sicherheitstools zu deaktivieren sowie das System abstürzen oder unbrauchbar zu machen. Mit einem EPSS-Score von 0.05545 im 90,3. Perzentil und bestätigter Aufnahme in den CISA-KEV-Katalog sollten Organisationen CVE-2023-36424 als aktiv ausgenutzte Rechteausweitungs-Schwachstelle behandeln, die sofortige Behebung erfordert.
Exploit-Reifegrad
CVE-2023-36424 gilt als aktiv ausgenutzt und wurde am 2026-04-13 mit einer bundesbehördlichen Behebungsfrist bis zum 2026-04-27 in den CISA Known Exploited Vulnerabilities-Katalog aufgenommen; Verteidiger sollten die Schwachstelle daher als aktuelle Bedrohung und nicht als theoretisches Risiko behandeln. Der EPSS-Score von 0.05545 im 90,3. Perzentil ordnet CVE-2023-36424 unter den obersten zehn Prozent der Schwachstellen nach erwarteter Ausnutzungsaktivität ein, was zum bekannten Muster einer schnellen Waffenfähigkeit von CLFS-Privilege-Escalation-Bugs passt. Die KEV-Daten kennzeichnen diese CVE nicht als bekannt im Ransomware-Einsatz, historische Erfahrungen zeigen jedoch, dass CLFS-Elevation-of-Privilege-Fehler regelmäßig in Commodity-Loader und Post-Exploitation-Toolkits integriert werden, um initiale Zugänge in eine vollständige Domänenkompromittierung zu überführen. In den NVD-Referenzen zu CVE-2023-36424 ist kein eigenständiger Public-Exploit-Link enthalten, der KEV-Status sowie die Ähnlichkeit zu zuvor waffenfähig gemachten CLFS-Lücken sprechen jedoch stark dafür, dass funktionsfähiger Exploit-Code in privaten Toolkits existiert; Organisationen sollten sofort patchen und Hersteller- sowie CISA-Hinweise fortlaufend beobachten.
Behebung
- Microsoft-Sicherheitsupdate für CVE-2023-36424 umgehend einspielen. Gemäß der CISA-KEV-Anweisung die Mitigationen nach Herstelleranweisungen anwenden, die BOD 22-01-Vorgaben für Cloud-Dienste einhalten oder den Produkteinsatz einstellen, falls keine Mitigationen verfügbar sind. Das offizielle Advisory ist unter Microsoft Security Response Center verfügbar.
- Alle betroffenen Windows-Builds identifizieren und aktualisieren. Fehlerbereinigte Builds sind u. a. Windows 10 1507 ≥ 10.0.10240.20308, Windows 10 1607 ≥ 10.0.14393.6452, Windows 10 1809 ≥ 10.0.17763.5122, Windows 10 21H2/22H2 ≥ 10.0.19044/19045.3693, Windows 11 21H2 ≥ 10.0.22000.2600, Windows 11 22H2/23H2 ≥ 10.0.22621/22631.2715, Windows Server 2016 ≥ 10.0.14393.6452, Windows Server 2019 ≥ 10.0.17763.5122, Windows Server 2022 ≥ 10.0.20348.2091 sowie Windows Server 2022 23H2 ≥ 10.0.25398.531. Windows Server 2008 und 2012 sind über die entsprechenden Monthly Rollups zu patchen.
- Lokale Codeausführungspfade zum Kernel-Treiber einschränken. Bis zur vollständigen Patch-Verteilung Application Allow-Listing (Windows Defender Application Control oder AppLocker) durchsetzen, lokale Administratorrechte wo möglich entfernen und Attack Surface Reduction Rules anwenden, um den Zugriff von Benutzerprozessen auf das Common Log File System einzuschränken.
- Nach Ausnutzungs- und Post-Exploitation-Spuren jagen. Da CVE-2023-36424 auf der KEV-Liste steht, EDR- und SIEM-Telemetrie auf unerwartete SYSTEM-Prozesse aus Benutzerkonten, ungewöhnliche CLFS-Log-Aktivitäten (unerwartete .blf- oder .bfx-Schreibzugriffe) sowie Kernel-Abstürze mit Bezug zu clfs.sys prüfen.
- EDR- und Detektionssignaturen aktualisieren. Sicherstellen, dass Endpoint-Detection-Tools und IDS/IPS-Regeln mit den Hersteller-Detektionen für CLFS-basierte Privilege-Escalation-Exploits aktualisiert sind, und Alarme zu Rechteausweitungs-Mustern priorisieren.
- Defense-in-Depth für Kernel-Speichersicherheit anwenden. Als langfristige Härtung gegen CWE-125-Out-of-Bounds-Read-Schwachstellen in Windows-Kernel-Komponenten Hypervisor-Protected Code Integrity (HVCI), Credential Guard und Kernel DMA Protection aktivieren sowie Virtualization-Based Security (VBS) überall dort einschalten, wo die Hardware dies unterstützt.
Technische Details
CVE-2023-36424 ist ein Out-of-Bounds-Read im Windows Common Log File System (CLFS)-Treiber (clfs.sys), der Kernel-Modus-Komponente, die transaktionale Log-Dateien für mehrere Windows-Subsysteme verwaltet. Der CVSS-3.1-Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H weist auf einen lokalen, niedrig-komplexen Angriff hin, der nur niedrige Rechte und keine Benutzerinteraktion erfordert. Schwachstellenmechanismus: ein Angreifer erstellt eine fehlerhafte CLFS-Log-Struktur (.blf), deren interne Offsets oder Größenfelder den Treiber veranlassen, über die Grenzen eines zugewiesenen Puffers hinaus zu lesen. Da die Berechnungen im Kernel-Kontext ohne ausreichende Grenzwertprüfung erfolgen, können die ausgelesenen Daten Kernel-Pointer und -Strukturen preisgeben, die Kernel Address Space Layout Randomization (KASLR) umgehen und nachfolgende Speicherkorruption ermöglichen. Exploit-Kette: die offengelegten Kernel-Informationen werden typischerweise mit einer anschließenden Memory-Corruption-Primitive kombiniert, um den Kernel-Kontrollfluss zu kapern und letztlich ein Token-Stealing-Primitive zu erzeugen, das das Token des aktuellen Prozesses gegen ein SYSTEM-Token austauscht. Auswirkungsprofil: der Unchanged-Scope begrenzt die unmittelbare Wirkung auf den lokalen Host, doch die HIGH/HIGH/HIGH-Bewertungen für Confidentiality, Integrity und Availability spiegeln wider, dass vollständiger SYSTEM-Zugriff alles auf diesem Rechner kompromittiert — Anmeldeinformationen, Endpoint-Security-Agenten und sämtliche vom Host erreichbaren Daten.
Häufig gestellte Fragen
Wird CVE-2023-36424 aktiv ausgenutzt?
Ja. CVE-2023-36424 ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog gelistet, was bedeutet, dass CISA die aktive Ausnutzung in freier Wildbahn bestätigt hat. Der EPSS-Score von 0.05545 (90,3. Perzentil) weist zudem auf eine hohe Wahrscheinlichkeit anhaltender Angriffe hin, und US-Bundesbehörden mussten bis zum 2026-04-27 remediieren.
Welche Produkte sind von CVE-2023-36424 betroffen?
CVE-2023-36424 betrifft eine breite Palette von Microsoft-Windows-Versionen: Windows 10 (Builds 1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2, 23H2) sowie Windows Server 2008, 2012, 2016, 2019, 2022 und 2022 23H2. Jeder unterstützte Windows-Host mit einem Build unterhalb der korrigierten Common-Log-File-System-Treiberversion ist bis zum Patchen als verwundbar anzusehen.
Wie behebe ich CVE-2023-36424?
Installieren Sie das im MSRC-Advisory für CVE-2023-36424 referenzierte Microsoft-Sicherheitsupdate und verifizieren Sie, dass jeder betroffene Windows-Host den fehlerbereinigten Build ausführt (z. B. Windows 11 22H2 ≥ 10.0.22621.2715 oder Windows Server 2022 ≥ 10.0.20348.2091). Bis zum Abschluss des Patchings lokale Administratorrechte einschränken, Hypervisor-Protected Code Integrity und Virtualization-Based Security aktivieren sowie gezielt nach Spuren CLFS-basierter Rechteausweitung suchen.
Wie schwerwiegend ist CVE-2023-36424?
CVE-2023-36424 ist mit HIGH und einem CVSS-3.1-Score von 7.8 bewertet. Eine erfolgreiche Ausnutzung verschafft vollständige SYSTEM-Rechte auf dem betroffenen Windows-Host, mit HIGH-Auswirkungen auf Confidentiality, Integrity und Availability, und der EPSS-Score von 0.05545 liegt im 90,3. Perzentil der Ausnutzungswahrscheinlichkeit — ein deutliches Signal, dass diese Windows-Rechteausweitungs-Schwachstelle priorisiert werden muss.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.