CVE-2023-36874
Microsoft Windows Error Reporting Service Privilege Escalation Vulnerability
Beschreibung
CVE-2023-36874 ist eine Elevation-of-Privilege-Schwachstelle im Windows Error Reporting Service, die auf einer Improper Link Resolution (CWE-59) basiert. Die Schwachstelle betrifft zahlreiche Microsoft Windows-Versionen, darunter Windows 10 (1507 bis 22H2), Windows 11 (21H2, 22H2) sowie Windows Server 2008 bis 2022. Ein authentifizierter Angreifer mit niedrigen Berechtigungen kann die Schwachstelle lokal ausnutzen, um erhoehte Systemprivilegien zu erlangen. Die CISA hat CVE-2023-36874 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestaetigt. Mit einem EPSS-Score von 71,2 % und einem CVSS-Score von 7.8 (Hoch) gehoert diese Schwachstelle zu den am haeufigsten ausgenutzten Windows-Sicherheitsluecken und erfordert umgehende Massnahmen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20048 |
| microsoft | windows 10 1607 | < 10.0.14393.6085 |
| microsoft | windows 10 1809 | < 10.0.17763.4645 |
| microsoft | windows 10 21h2 | < 10.0.19041.3208 |
| microsoft | windows 10 22h2 | < 10.0.19045.3208 |
| microsoft | windows 11 21h2 | < 10.0.22000.2176 |
| microsoft | windows 11 22h2 | < 10.0.22621.1992 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.6085 |
| microsoft | windows server 2019 | < 10.0.17763.4645 |
| microsoft | windows server 2022 | < 10.0.20348.1850 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36874(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/174843/Microsoft-Error-Reporting-Local-Privilege-Elevation.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-36874(US Government Resource)
Schwachstellentyp
CWE-59: Improper Link Resolution Before File Access (Link Following)
Bei CVE-2023-36874 wird eine unsachgemaesse Aufloesung von Dateipfaden im Windows Error Reporting Service ausgenutzt. Diese Schwachstellenklasse tritt auf, wenn eine Anwendung symbolische Links oder andere Dateisystemverknuepfungen nicht korrekt validiert, bevor sie auf die Zieldateien zugreift. Im Kontext des Windows Error Reporting Service kann ein Angreifer symbolische Links manipulieren, um den Dienst dazu zu bringen, Operationen an privilegierten Systemdateien durchzufuehren.
Mehr erfahren: CWE-59 — Improper Link Resolution Before File Access
Auswirkungsanalyse
Angriffsvektor (Lokal): CVE-2023-36874 erfordert lokalen Zugriff auf das Zielsystem, was bedeutet, dass ein Angreifer bereits eine niedrige Zugriffsebene auf dem betroffenen System besitzen muss. Angriffskomplexitaet (Niedrig): Die Ausnutzung ist unkompliziert und erfordert keine speziellen Bedingungen oder tiefgreifendes Fachwissen. Niedrige Berechtigungen erforderlich: Der Angreifer benoetigt lediglich niedrige Berechtigungen auf dem Zielsystem, was die Schwachstelle fuer Post-Exploitation-Szenarien besonders relevant macht. Keine Benutzerinteraktion erforderlich: Die Ausnutzung erfordert keine Aktion eines weiteren Benutzers — der Angreifer kann sie eigenstaendig ausloesen. Vertraulichkeit, Integritaet und Verfuegbarkeit (jeweils Hoch): Bei erfolgreicher Ausnutzung erlangt der Angreifer erhoehte Systemprivilegien, die den vollstaendigen Zugriff auf vertrauliche Daten, die Manipulation von Systemdateien und die Beeintraechtigung der Systemverfuegbarkeit ermoeglichen. Der CVSS-Score von 7.8 (Hoch) in Kombination mit dem EPSS-Score von 71,2 % (98. Perzentil) zeigt, dass CVE-2023-36874 eine der am aktivsten ausgenutzten lokalen Rechteausweitungen darstellt.
Exploit-Reifegrad
Aktive Ausnutzung: Die CISA hat bestaetigt, dass CVE-2023-36874 aktiv in freier Wildbahn ausgenutzt wird, und die Schwachstelle in den KEV-Katalog aufgenommen. Die Frist zur Behebung war der 1. August 2023. Oeffentlicher Exploit-Code: Fuer CVE-2023-36874 ist oeffentlicher Exploit-Code verfuegbar ueber Packet Storm Security, der eine lokale Rechteausweitung ueber den Microsoft Error Reporting Service demonstriert. Ausnutzungswahrscheinlichkeit: Der EPSS-Score von 71,2 % (98. Perzentil) zeigt eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung, was durch die Verfuegbarkeit oeffentlichen Exploit-Codes und die KEV-Aufnahme untermauert wird. Ein direkter Zusammenhang mit Ransomware-Aktivitaeten ist derzeit nicht bekannt, jedoch wird die Schwachstelle haeufig in Post-Exploitation-Szenarien zur Rechteausweitung eingesetzt.
Behebung
- Sicherheitsupdates anwenden: Gemaess der KEV-Anweisung der CISA muessen die von Microsoft bereitgestellten Patches umgehend installiert werden. Die Sicherheitsupdates sind ueber das Microsoft Security Response Center verfuegbar und sollten auf allen betroffenen Windows-Versionen (Windows 10 1507 bis 22H2, Windows 11 21H2/22H2, Windows Server 2008 bis 2022) eingespielt werden.
- Windows Error Reporting Service einschraenken: Pruefen, ob der Windows Error Reporting Service auf nicht-kritischen Systemen deaktiviert oder eingeschraenkt werden kann. Die Deaktivierung reduziert die Angriffsflaeche, sollte jedoch gegen den Verlust der Fehlerberichterstattung abgewogen werden.
- Symbolische Links ueberwachen: Dateisystem-Audit-Richtlinien aktivieren, um die Erstellung und Manipulation symbolischer Links zu ueberwachen, insbesondere in Verzeichnissen, die vom Windows Error Reporting Service verwendet werden. Verdaechtige Symlink-Aktivitaeten koennen auf Ausnutzungsversuche hindeuten.
- Endpunkt-Ueberwachung: EDR-Loesungen auf Anzeichen einer Rechteausweitung konfigurieren, insbesondere auf ungewoehnliche Prozesserstellungen mit SYSTEM-Berechtigungen, die vom Windows Error Reporting Service ausgehen. Exploit-Signaturen fuer den oeffentlich verfuegbaren Exploit-Code implementieren.
- Least-Privilege-Prinzip durchsetzen: Sicherstellen, dass Benutzerkonten nur die minimal notwendigen Berechtigungen besitzen, um die Auswirkungen einer erfolgreichen Rechteausweitung zu begrenzen. Regelmaessige Ueberpruefung der Berechtigungsvergabe durchfuehren.
Technische Details
Schwachstellenmechanismus: CVE-2023-36874 nutzt eine Improper Link Resolution (CWE-59) im Windows Error Reporting Service aus. Diese Schwachstellenklasse tritt auf, wenn der Error Reporting Service symbolische Links oder Junction Points im Dateisystem nicht ordnungsgemaess validiert, bevor er Dateioperationen durchfuehrt. Ein Angreifer kann einen symbolischen Link erstellen, der den Dienst dazu bringt, privilegierte Operationen an beliebigen Systemdateien durchzufuehren, was zu einer Rechteausweitung auf SYSTEM-Ebene fuehrt. CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H): Der lokale Angriffsvektor mit niedriger Komplexitaet und niedrigen Berechtigungsanforderungen zeigt, dass ein Angreifer mit einem regulaeren Benutzerkonto die Schwachstelle zuverlaessig ausnutzen kann. Die fehlende Benutzerinteraktion bedeutet, dass der Exploit automatisiert werden kann. Der unveraenderte Scope beschraenkt die Auswirkungen auf die Sicherheitsdomaene des betroffenen Systems, wobei alle drei Schutzziele maximal betroffen sind. Die Verfuegbarkeit oeffentlichen Exploit-Codes ueber Packet Storm Security erleichtert die technische Reproduktion des Angriffs erheblich.
Häufig gestellte Fragen
Wird CVE-2023-36874 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-36874 in den KEV-Katalog aufgenommen, was eine aktive Ausnutzung in freier Wildbahn bestaetigt. Zusaetzlich ist oeffentlicher Exploit-Code ueber Packet Storm Security verfuegbar, der die Rechteausweitung demonstriert. Die Frist zur Behebung war der 1. August 2023.
Welche Produkte sind von CVE-2023-36874 betroffen?
CVE-2023-36874 betrifft eine Vielzahl von Microsoft Windows-Versionen: Windows 10 (Versionen 1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Betroffen ist der Windows Error Reporting Service, der in all diesen Windows-Versionen vorhanden ist.
Wie behebe ich CVE-2023-36874?
Die primaere Massnahme ist die Installation der Sicherheitsupdates von Microsoft, die ueber das Microsoft Security Response Center verfuegbar sind. Ergaenzend kann der Windows Error Reporting Service auf nicht-kritischen Systemen eingeschraenkt werden. Die Ueberwachung symbolischer Links und die Implementierung von EDR-Signaturen fuer den bekannten Exploit-Code bieten zusaetzlichen Schutz.
Wie schwerwiegend ist CVE-2023-36874?
CVE-2023-36874 hat einen CVSS-Score von 7.8 (Hoch) und einen aussergewoehnlich hohen EPSS-Score von 71,2 % (98. Perzentil), was auf eine sehr hohe Ausnutzungswahrscheinlichkeit hinweist. Die Verfuegbarkeit oeffentlichen Exploit-Codes verstaerkt das Risiko erheblich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.