CVE-2023-36884
Microsoft Windows Search Remote Code Execution Vulnerability
Beschreibung
CVE-2023-36884 ist eine Schwachstelle vom Typ Race Condition in der Windows-Suche von Microsoft, die eine Remotecodeausfuehrung ermoeglicht. Die Schwachstelle betrifft eine breite Palette von Microsoft Windows-Versionen, darunter Windows 10, Windows 11 sowie Windows Server 2008 bis 2022. Ein Angreifer kann die Sicherheitsluecke ueber das Netzwerk ausnutzen, wobei jedoch eine erhoehte Angriffskomplexitaet vorliegt und eine Benutzerinteraktion erforderlich ist. Die CISA hat CVE-2023-36884 in den KEV-Katalog aufgenommen und bestaetigt die aktive Ausnutzung, einschliesslich des Einsatzes in Ransomware-Angriffen. Der EPSS-Score von 93,22 % (99. Perzentil) unterstreicht die ausserordentlich hohe Ausnutzungswahrscheinlichkeit dieser Windows-Schwachstelle.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20107 |
| microsoft | windows 10 1607 | < 10.0.14393.6167 |
| microsoft | windows 10 1809 | < 10.0.17763.4737 |
| microsoft | windows 10 21h2 | < 10.0.19044.3324 |
| microsoft | windows 10 22h2 | < 10.0.19044.3324 |
| microsoft | windows 11 21h2 | < 10.0.22000.2295 |
| microsoft | windows 11 22h2 | < 10.0.22621.2134 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.6167 |
| microsoft | windows server 2019 | < 10.0.17763.4737 |
| microsoft | windows server 2022 | < 10.0.20348.1903 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884(Patch, Vendor Advisory)
- http://seclists.org/fulldisclosure/2023/Jul/43(Broken Link, Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-36884(US Government Resource)
Schwachstellentyp
CWE-362: Concurrent Execution Using Shared Resource with Improper Synchronization (Race Condition)
Bei CVE-2023-36884 liegt eine Race Condition in der Windows-Suchfunktion vor. Eine unzureichende Synchronisation bei der gleichzeitigen Ausfuehrung von Operationen auf gemeinsam genutzten Ressourcen ermoeglicht es einem Angreifer, den zeitlichen Ablauf zu manipulieren und dadurch beliebigen Code auszufuehren. Diese Art von Schwachstelle ist besonders schwer zu erkennen, da sie von spezifischen Timing-Bedingungen abhaengt.
Mehr erfahren: CWE-362 -- Race Condition
Auswirkungsanalyse
Die Auswirkungen von CVE-2023-36884 sind trotz der erhoehten Angriffskomplexitaet erheblich. Die Schwachstelle ist ueber das Netzwerk ausnutzbar, ohne dass ein physischer Zugang erforderlich ist. Die Angriffskomplexitaet ist hoch (AC:H), was bedeutet, dass spezielle Bedingungen erfuellt sein muessen, jedoch keine Authentifizierung erforderlich ist. Eine Benutzerinteraktion ist notwendig, beispielsweise das Oeffnen eines praeparierten Dokuments. Vertraulichkeit (High): Bei erfolgreicher Ausnutzung kann der Angreifer auf saemtliche Daten zugreifen, die dem Benutzer zur Verfuegung stehen. Integritaet (High): Beliebiger Code kann ausgefuehrt und Systemdateien koennen manipuliert werden. Verfuegbarkeit (High): Das betroffene System kann vollstaendig kompromittiert oder durch Ransomware verschluesselt werden. Der CVSS-Score von 7.5 (HIGH) und der EPSS-Score von 93,22 % in Kombination mit der bestaetigten Verwendung in Ransomware-Angriffen machen sofortiges Handeln dringend erforderlich.
Exploit-Reifegrad
Die CISA hat CVE-2023-36884 im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 29. August 2023, und bestaetigt ausdruecklich den Einsatz in Ransomware-Angriffen. Der EPSS-Score von 93,22 % (99. Perzentil) weist auf eine nahezu sichere Ausnutzungsaktivitaet hin. Informationen zur Schwachstelle wurden auf der Full Disclosure Mailingliste veroeffentlicht, und Microsoft stellt ueber das MSRC Security Update Guide offizielle Patches bereit. Obwohl kein dedizierter oeffentlicher Exploit-Code in den Referenzen verlinkt ist, belegt die KEV-Aufnahme die aktive Ausnutzung durch Bedrohungsakteure.
Behebung
-
Microsoft-Sicherheitsupdates umgehend installieren: Wenden Sie die im Microsoft Security Update Guide bereitgestellten Patches fuer alle betroffenen Windows-Versionen an. Priorisieren Sie Windows Server-Systeme und oeffentlich erreichbare Workstations.
-
Betroffene Windows-Versionen aktualisieren: Stellen Sie sicher, dass alle Systeme mit Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2) und Windows Server (2008, 2012, 2016, 2019, 2022) die aktuellsten Sicherheitsupdates erhalten haben. Systeme mit Windows Server 2008 und 2012 sollten auf Extended Security Updates geprueft werden.
-
Dokumente aus nicht vertrauenswuerdigen Quellen blockieren: Da die Ausnutzung Benutzerinteraktion erfordert, konfigurieren Sie E-Mail-Gateways und Web-Proxy-Server, um verdaechtige Dateianhaenge und Downloads zu blockieren. Aktivieren Sie Microsoft Defender Attack Surface Reduction (ASR) Regeln.
-
Protokollanalyse und IOC-Pruefung: Ueberpruefen Sie Windows-Ereignisprotokolle auf verdaechtige Suchoperationen und ungewoehnliche Prozessausfuehrungen. Suchen Sie nach Anzeichen einer Kompromittierung, insbesondere im Zusammenhang mit Ransomware-Aktivitaeten.
-
Netzwerksegmentierung und Privilege Escalation verhindern: Implementieren Sie Netzwerksegmentierung, um die laterale Bewegung nach einer erfolgreichen Kompromittierung einzuschraenken. Wenden Sie das Least-Privilege-Prinzip fuer Benutzerkonten an.
Technische Details
CVE-2023-36884 beruht auf einer Race Condition (CWE-362) in der Windows-Suchfunktion, die eine Remotecodeausfuehrung ermoeglicht. Der CVSS-Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) erfolgen kann, jedoch eine erhoehte Komplexitaet (AC:H) aufweist, da bestimmte Timing-Bedingungen erfuellt sein muessen. Es sind keine Privilegien erforderlich (PR:N), aber der Benutzer muss eine Aktion ausfuehren (UI:R), wie beispielsweise das Oeffnen eines manipulierten Dokuments oder Links. Die Race Condition entsteht durch eine unzureichende Synchronisation bei der Verarbeitung von Suchoperationen, wobei ein Angreifer den zeitlichen Ablauf so manipulieren kann, dass Code im Kontext des angemeldeten Benutzers ausgefuehrt wird. Alle drei Impact-Metriken stehen auf High (C:H/I:H/A:H), was die vollstaendige Kompromittierung des betroffenen Systems widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2023-36884 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-36884 in den KEV-Katalog aufgenommen und bestaetigt die aktive Ausnutzung in freier Wildbahn. Besonders alarmierend ist die bestaetigte Verwendung in Ransomware-Angriffen. Der EPSS-Score von 93,22 % (99. Perzentil) zeigt, dass diese Schwachstelle zu den am haeufigsten ausgenutzten weltweit gehoert.
Welche Produkte sind von CVE-2023-36884 betroffen?
Betroffen sind zahlreiche Microsoft Windows-Versionen: Windows 10 (Versionen 1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Damit ist praktisch die gesamte aktuell im Einsatz befindliche Windows-Landschaft betroffen.
Wie behebe ich CVE-2023-36884?
Installieren Sie umgehend die Sicherheitsupdates aus dem Microsoft Security Update Guide fuer CVE-2023-36884. Da die Ausnutzung Benutzerinteraktion erfordert, sollten Sie zusaetzlich E-Mail-Gateways konfigurieren, um verdaechtige Dateianhaenge zu blockieren, und Microsoft Defender ASR-Regeln aktivieren.
Wie schwerwiegend ist CVE-2023-36884?
CVE-2023-36884 wird mit einem CVSS v3.1-Score von 7.5 als HIGH eingestuft. Obwohl die Angriffskomplexitaet hoch ist und Benutzerinteraktion erforderlich ist, ermoeglicht die Schwachstelle bei erfolgreicher Ausnutzung die vollstaendige Systemkompromittierung. Der EPSS-Score von 93,22 % und die bestaetigte Nutzung in Ransomware-Angriffen erfordern sofortiges Handeln.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.