CVE-2023-36584
Microsoft Windows Mark of the Web (MOTW) Security Feature Bypass Vulnerability
Beschreibung
CVE-2023-36584 ist eine Sicherheitslücke in Microsoft Windows, die das Mark-of-the-Web (MotW) Sicherheitsfeature umgeht. Diese Schwachstelle betrifft zahlreiche Windows-Versionen, darunter Windows 10, Windows 11 sowie Windows Server 2008 bis 2022. Durch die Ausnutzung dieser Sicherheitslücke kann ein Angreifer die MotW-Markierung umgehen, die normalerweise Benutzer vor potenziell unsicheren Dateien aus dem Internet warnt. Die CISA hat CVE-2023-36584 in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, was auf aktive Ausnutzung in freier Wildbahn hinweist. Mit einem EPSS-Score von 15,4 % besteht ein erhöhtes Risiko zukünftiger Exploit-Aktivitäten.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20232 |
| microsoft | windows 10 1809 | < 10.0.17763.4974 |
| microsoft | windows 10 21h1 | < 10.0.19041.3570 |
| microsoft | windows 10 22h2 | < 10.0.19041.3570 |
| microsoft | windows 11 21h2 | < 10.0.22000.2538 |
| microsoft | windows 11 22h2 | < 10.0.22621.2428 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.6351 |
| microsoft | windows server 2019 | < 10.0.17763.4974 |
| microsoft | windows server 2022 | < 10.0.20348.2031 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36584(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-36584(US Government Resource)
Schwachstellentyp
Für CVE-2023-36584 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle fällt in die Kategorie der Security-Feature-Bypass-Schwachstellen, bei denen Schutzmechanismen des Betriebssystems — in diesem Fall das Mark of the Web — umgangen werden können. Dies ermöglicht es Angreifern, Dateien ohne die üblichen Sicherheitswarnungen auf Zielsystemen auszuführen.
Auswirkungsanalyse
CVE-2023-36584 wird mit einem CVSS-Score von 5.4 (MEDIUM) bewertet und ist über das Netzwerk ausnutzbar, ohne dass eine Authentifizierung erforderlich ist. Allerdings ist eine Benutzerinteraktion notwendig — ein Opfer muss eine manipulierte Datei öffnen oder auf einen präparierten Link klicken. Integrität (niedrig): Die Schwachstelle ermöglicht die Umgehung der MotW-Markierung, wodurch heruntergeladene Dateien nicht mehr als potenziell gefährlich gekennzeichnet werden. Verfügbarkeit (niedrig): Es besteht ein geringfügiges Risiko für die Systemverfügbarkeit. Vertraulichkeit: Es sind keine direkten Auswirkungen auf die Vertraulichkeit von Daten zu erwarten. Da die Schwachstelle im KEV-Katalog der CISA gelistet ist, wurde bestätigt, dass sie aktiv ausgenutzt wird, was trotz des moderaten CVSS-Scores sofortige Aufmerksamkeit erfordert.
Exploit-Reifegrad
Die CISA hat CVE-2023-36584 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Es ist derzeit kein Zusammenhang mit Ransomware-Kampagnen bekannt. Der EPSS-Score von 15,4 % (94. Perzentil) deutet darauf hin, dass die Wahrscheinlichkeit einer Ausnutzung über dem Durchschnitt liegt. In den öffentlich verfügbaren Referenzen sind keine dedizierten Exploit-Codes oder Proof-of-Concept-Veröffentlichungen gelistet, jedoch sollte die bestätigte aktive Ausnutzung als dringender Handlungsbedarf gewertet werden.
Behebung
- Sicherheitsupdates installieren: Wenden Sie die von Microsoft bereitgestellten Sicherheitspatches gemäß dem Microsoft Security Update Guide an. Die CISA-Frist für die Behebung war der 7. Dezember 2023.
- Betroffene Systeme identifizieren: Überprüfen Sie alle Installationen von Windows 10 (1507, 1809, 21H1, 22H2), Windows 11 (21H2, 22H2) und Windows Server (2008, 2012, 2016, 2019, 2022) auf fehlende Patches.
- E-Mail- und Web-Gateway-Filter verstärken: Blockieren Sie verdächtige Dateianhänge und Downloads, die die MotW-Umgehung ausnutzen könnten, durch erweiterte Filterregeln an E-Mail-Gateways und Webproxys.
- Benutzer sensibilisieren: Schulen Sie Mitarbeiter im Umgang mit Dateien aus externen Quellen und weisen Sie auf die Risiken manipulierter Dateien hin, die keine Sicherheitswarnungen auslösen.
- Monitoring und Erkennung: Überwachen Sie Endpunkte auf verdächtige Dateiausführungen ohne MotW-Markierung und prüfen Sie Sicherheitsprotokolle auf Anzeichen einer Kompromittierung.
Technische Details
CVE-2023-36584 betrifft das Mark-of-the-Web (MotW) Sicherheitsfeature in Microsoft Windows. MotW ist ein Mechanismus, der Dateien aus nicht vertrauenswürdigen Quellen — etwa dem Internet oder E-Mail-Anhängen — mit einem Zone-Identifier-Attribut im NTFS Alternate Data Stream markiert. Diese Markierung löst bei der Ausführung Sicherheitswarnungen und zusätzliche Schutzmaßnahmen aus, etwa die geschützte Ansicht in Microsoft Office. Die Schwachstelle ermöglicht es, diesen Schutzmechanismus zu umgehen, sodass Dateien aus dem Internet ohne entsprechende Warnungen ausgeführt werden können. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L zeigt, dass die Ausnutzung über das Netzwerk mit niedriger Komplexität möglich ist, jedoch eine Benutzerinteraktion erfordert. Die Auswirkungen auf Integrität und Verfügbarkeit sind als niedrig eingestuft.
Häufig gestellte Fragen
Wird CVE-2023-36584 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-36584 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was aktive Ausnutzung in freier Wildbahn bestätigt. Die Frist zur Behebung wurde auf den 7. Dezember 2023 festgelegt. Ein Zusammenhang mit Ransomware-Kampagnen ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2023-36584 betroffen?
Die Schwachstelle betrifft eine breite Palette von Microsoft Windows-Versionen: Windows 10 (Versionen 1507, 1809, 21H1, 22H2), Windows 11 (21H2, 22H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Sowohl Desktop- als auch Server-Betriebssysteme sind betroffen.
Wie kann CVE-2023-36584 behoben werden?
Installieren Sie die von Microsoft bereitgestellten Sicherheitsupdates über den Microsoft Security Update Guide. Identifizieren Sie alle betroffenen Systeme in Ihrer Umgebung und priorisieren Sie das Patching. Ergänzend sollten E-Mail- und Web-Gateway-Filter verstärkt werden, um verdächtige Dateien zu blockieren.
Wie schwerwiegend ist CVE-2023-36584?
CVE-2023-36584 wird mit einem CVSS-Score von 5.4 als MEDIUM eingestuft. Trotz der moderaten Bewertung ist die Schwachstelle durch die Aufnahme in den KEV-Katalog der CISA als besonders relevant einzustufen. Der EPSS-Score von 15,4 % (94. Perzentil) zeigt eine überdurchschnittliche Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.