CVE-2024-21351
Microsoft Windows SmartScreen Security Feature Bypass Vulnerability
Beschreibung
CVE-2024-21351 ist eine Sicherheitslücke zur Umgehung von Sicherheitsfunktionen in Windows SmartScreen, klassifiziert als Code Injection (CWE-94), die zahlreiche Microsoft Windows-Versionen betrifft. Die Schwachstelle ermöglicht es einem entfernten Angreifer, den SmartScreen-Schutzfilter zu umgehen und potenziell schädlichen Code auf einem Zielsystem auszuführen, wenn ein Benutzer eine präparierte Datei öffnet. Ein erfolgreicher Angriff kann zu eingeschränkten Vertraulichkeitsverlusten sowie erheblichen Integritäts- und Verfügbarkeitsbeeinträchtigungen führen. CVE-2024-21351 ist im CISA-KEV-Katalog als aktiv ausgenutzte Schwachstelle gelistet, was sofortiges Handeln erforderlich macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20469 |
| microsoft | windows 10 1607 | < 10.0.14393.6709 |
| microsoft | windows 10 1809 | < 10.0.17763.5458 |
| microsoft | windows 10 21h2 | < 10.0.19044.4046 |
| microsoft | windows 10 22h2 | < 10.0.19045.4046 |
| microsoft | windows 11 21h2 | < 10.0.22000.2777 |
| microsoft | windows 11 22h2 | < 10.0.22621.3155 |
| microsoft | windows 11 23h2 | < 10.0.22631.3155 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | < 10.0.17763.5458 |
| microsoft | windows server 2022 | < 10.0.20348.2322 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.709 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21351(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-21351(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code (Code Injection)
CWE-94 beschreibt eine Schwäche, bei der eine Anwendung Benutzereingaben unkontrolliert in ausführbaren Code einbettet, sodass ein Angreifer beliebigen Code einschleusen kann. Bei CVE-2024-21351 manifestiert sich diese Schwachstelle in Windows SmartScreen, das präparierte Dateien nicht korrekt analysiert und dadurch die Ausführung von eingeschleustem Code ermöglicht, ohne die üblichen Sicherheitswarnungen anzuzeigen.
Weitere Informationen: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2024-21351 ist über das Netzwerk aus der Ferne ausnutzbar und erfordert keine Authentifizierung, jedoch eine Benutzerinteraktion – das Opfer muss eine speziell präparierte Datei öffnen. Angriffskomplexität (Niedrig): Die Schwachstelle ist ohne besondere technische Voraussetzungen ausnutzbar. Vertraulichkeit (Niedrig): Es können begrenzte Informationen des Zielsystems offengelegt werden. Integrität (Hoch): Durch die SmartScreen-Umgehung können Angreifer Dateien und Systemkonfigurationen verändern oder Schadsoftware installieren, ohne dass Sicherheitswarnungen erscheinen. Verfügbarkeit (Niedrig): Eingeschränkte Beeinträchtigung der Systemverfügbarkeit ist möglich. Der CVSS-Score von 7.6 (HIGH) und die aktive Ausnutzung laut CISA KEV unterstreichen die Dringlichkeit der Behebung; der EPSS-Wert von 9,5 % zeigt moderate, aber durch KEV-Bestätigung real nachgewiesene Ausnutzung in der Praxis.
Exploit-Reifegrad
CISA hat CVE-2024-21351 als aktiv ausgenutzte Schwachstelle in den KEV-Katalog aufgenommen, was bedeutet, dass die Schwachstelle nachweislich in realen Angriffsszenarien eingesetzt wird. Eine Verbindung zu Ransomware-Kampagnen ist laut den verfügbaren Daten nicht bekannt (KEV Ransomware: Unknown). Der EPSS-Score von 9,5 % (92,7. Perzentile) deutet auf eine moderate Ausnutzungswahrscheinlichkeit hin, wobei die KEV-Bestätigung zeigt, dass tatsächliche Angriffe stattfinden. CVE-2024-21351 wird häufig in Kombination mit CVE-2024-21412 (Internet Shortcut Files Security Feature Bypass) eingesetzt, um SmartScreen-Schutzmaßnahmen vollständig zu umgehen und Schadsoftware ohne Benutzerwarnung zu installieren.
Behebung
- Pflichtmaßnahme laut CISA KEV: Wenden Sie Patches gemäß den Herstelleranweisungen an oder stellen Sie die Nutzung des Produkts ein, wenn keine Abhilfemaßnahmen verfügbar sind (Frist: 5. März 2024).
- Sicherheitsupdate installieren: Spielen Sie das von Microsoft im Februar 2024 (Patch Tuesday) veröffentlichte Sicherheitsupdate für alle betroffenen Versionen ein – Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2, 23H2), Windows Server 2016, 2019, 2022 und 2022 23H2 – über Windows Update oder WSUS.
- Interimslösung – Zugriffsrestriktionen: Beschränken Sie den Download und die Ausführung von Dateien aus nicht vertrauenswürdigen Quellen über Gruppenrichtlinien und schränken Sie den Internetzugriff für nicht privilegierte Benutzer ein.
- Monitoring und Erkennung: Überwachen Sie Windows-Ereignisprotokolle auf SmartScreen-Bypass-Versuche und stellen Sie sicher, dass Endpoint-Detection-and-Response-Lösungen (EDR) mit aktuellen Signaturen für CVE-2024-21351 ausgestattet sind.
- Langfristige Härtung: Implementieren Sie Code-Ausführungsrichtlinien über Windows Defender Application Control (WDAC) oder AppLocker, um die Ausführung nicht genehmigter Skripte und Anwendungen zu verhindern, und sensibilisieren Sie Benutzer für Social-Engineering-Angriffe.
Technische Details
CVE-2024-21351 nutzt eine Code-Injection-Schwachstelle (CWE-94) in der SmartScreen-Komponente von Microsoft Windows aus. SmartScreen soll Benutzer vor dem Öffnen potenziell gefährlicher Dateien warnen, die aus dem Internet heruntergeladen wurden; durch CVE-2024-21351 kann dieser Schutzmechanismus durch speziell konstruierte Dateien umgangen werden, die vom Filter nicht korrekt als gefährlich eingestuft werden. Der Angriff erfordert keine Authentifizierung (Privileges Required: None) und ist netzwerkbasiert (Attack Vector: Network), setzt jedoch Benutzerinteraktion voraus (User Interaction: Required). Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:L zeigt, dass die Schwachstelle trotz erforderlicher Benutzerinteraktion erhebliche Auswirkungen auf Integrität und in geringerem Maße auf Vertraulichkeit und Verfügbarkeit hat.
Häufig gestellte Fragen
Wird CVE-2024-21351 aktiv ausgenutzt?
Ja, CVE-2024-21351 wird aktiv in der freien Wildbahn ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog gelistet. Eine direkte Verbindung zu Ransomware-Gruppen ist nach aktuellen Informationen nicht belegt, jedoch bestätigt die KEV-Aufnahme reale Angriffe. Der EPSS-Score von 9,5 % (92,7. Perzentile) zeigt eine signifikante Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2024-21351 betroffen?
Betroffen sind Windows 10 (Versionen 1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2, 23H2) sowie Windows Server 2016, Windows Server 2019, Windows Server 2022 und Windows Server 2022 23H2. Damit sind praktisch alle aktuell unterstützten Windows-Desktop- und Server-Versionen betroffen.
Wie behebe ich CVE-2024-21351?
Installieren Sie das im Februar 2024 von Microsoft veröffentlichte Sicherheitsupdate über Windows Update oder WSUS. Die CISA-Behebungsfrist war der 5. März 2024. Als ergänzende Maßnahme sollten Sie Zugriffsrichtlinien für das Ausführen heruntergeladener Dateien verschärfen und EDR-Lösungen mit aktuellen Signaturen einsetzen.
Wie schwerwiegend ist CVE-2024-21351?
CVE-2024-21351 wird mit einem CVSS-Score von 7.6 (HIGH) bewertet. Die bestätigte aktive Ausnutzung durch CISA sowie die häufige Kombination mit CVE-2024-21412 in Angriffen erhöhen das Risiko erheblich. Unternehmen sollten die Schwachstelle mit hoher Priorität behandeln und umgehend patchen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.