CVE-2024-26169
Microsoft Windows Error Reporting Service Improper Privilege Management Vulnerability
Beschreibung
CVE-2024-26169 ist eine schwerwiegende Elevation-of-Privilege-Schwachstelle im Windows Error Reporting Service (WER), die es einem lokalen Angreifer mit niedrigen Berechtigungen ermoeglicht, SYSTEM-Rechte zu erlangen. Die Schwachstelle wird mit einem CVSS-Score von 7.8 (HIGH) bewertet und betrifft nahezu alle unterstuetzten Windows-Versionen, von Windows 10 ueber Windows 11 bis hin zu Windows Server 2008 bis 2022.
Die CISA hat CVE-2024-26169 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-07-04. Der EPSS-Score von 35,15 % (96,9. Perzentil) weist auf eine sehr hohe Ausnutzungsaktivitaet hin. Besonders alarmierend ist die bestaetigt aktive Nutzung durch Ransomware-Gruppen (Ransomware-Status: Known), was diese Schwachstelle zu einer der hoechstpriorisierten Bedrohungen macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20526 |
| microsoft | windows 10 1607 | < 10.0.14393.6796 |
| microsoft | windows 10 1809 | < 10.0.17763.5576 |
| microsoft | windows 10 21h2 | < 10.0.19044.4170 |
| microsoft | windows 10 22h2 | < 10.0.19045.4170 |
| microsoft | windows 11 21h2 | < 10.0.22000.2836 |
| microsoft | windows 11 22h2 | < 10.0.22621.3296 |
| microsoft | windows 11 23h2 | < 10.0.22631.3296 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | < 10.0.17763.5576 |
| microsoft | windows server 2022 | < 10.0.20348.2333 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.763 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-26169(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-26169(US Government Resource)
Schwachstellentyp
Elevation of Privilege im Error Reporting Service
CVE-2024-26169 ist eine Rechteausweitung im Windows Error Reporting Service (WER), einem Systemdienst, der mit erhoehten Berechtigungen laeuft. Der WER-Dienst sammelt Absturzberichte und Fehlerdaten, um sie an Microsoft zu uebermitteln. Eine Schwachstelle in diesem Dienst ermoeglicht es einem lokalen Angreifer, von niedrigen Berechtigungen auf SYSTEM-Ebene zu eskalieren.
Diese Art von Schwachstelle faellt in den Bereich der unzureichenden Berechtigungsverwaltung, bei der ein Systemdienst seine erhoehten Privilegien nicht korrekt schuetzt und so einem Angreifer die Uebernahme ermoeglicht.
Weitere Informationen: CWE-269 -- Improper Privilege Management
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-26169 sind gravierend, da die Schwachstelle die Eskalation auf SYSTEM-Rechte ueber einen allgegenwaertigen Windows-Systemdienst ermoeglicht. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen lokalen Angriff mit niedriger Komplexitaet. Vertraulichkeit (Hoch): Mit SYSTEM-Rechten kann der Angreifer auf saemtliche Daten des Systems zugreifen, einschliesslich gespeicherter Zugangsdaten (Credential Store, LSASS), Active-Directory-Daten und verschluesselter Dateien. Integritaet (Hoch): SYSTEM-Privilegien ermoeglichen die Manipulation aller Systemdateien, Registrierungseinstellungen und Sicherheitsrichtlinien. Der Angreifer kann Backdoors installieren, Sicherheitssoftware deaktivieren und den Bootprozess manipulieren. Verfuegbarkeit (Hoch): Das System kann vollstaendig kompromittiert, verschluesselt oder zerstoert werden. Die bestaetigt aktive Nutzung durch Ransomware-Gruppen macht die Verfuegbarkeitsauswirkung besonders real. Der EPSS-Score von 35,15 % (96,9. Perzentil) und der Ransomware-Status "Known" unterstreichen die unmittelbare Bedrohung. Die extrem breite Palette betroffener Windows-Versionen (10, 11, Server 2008 bis 2022) maximiert die Angriffsflaeche.
Exploit-Reifegrad
CVE-2024-26169 weist eine sehr hohe Exploit-Reife mit bestaetigter Ransomware-Nutzung auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-07-04 in den KEV-Katalog aufgenommen. Der EPSS-Score von 35,15 % (96,9. Perzentil) dokumentiert eine signifikante Ausnutzungsaktivitaet. Der Ransomware-Status ist als Known eingestuft, was bedeutet, dass die Schwachstelle bestaetigt von Ransomware-Gruppen in ihren Angriffsketten verwendet wird. Microsoft hat die Schwachstelle im Rahmen des Maerz 2024 Patch Tuesday behoben. Das Microsoft Security Update Guide fuer CVE-2024-26169 enthaelt Details zu den betroffenen Versionen und verfuegbaren Patches. Die Kombination aus bestaetigter Ransomware-Nutzung, hohem EPSS-Score und der breiten Angriffsoberflaeche macht sofortiges Patchen zwingend notwendig.
Behebung
-
Windows-Sicherheitsupdate vom Maerz 2024 umgehend installieren: Wenden Sie das kumulative Sicherheitsupdate an, das Microsoft im Rahmen des Patch Tuesday vom Maerz 2024 veroeffentlicht hat. Konsultieren Sie das Microsoft Security Update Guide fuer CVE-2024-26169 fuer die exakten Versionsnummern.
-
Alle Windows-Systeme flaechendeckend patchen: Die Schwachstelle betrifft ein extrem breites Spektrum: Windows 10 (1507 bis 22H2), Windows 11 (21H2 bis 23H2), Windows Server 2008 bis 2022 23H2. Nutzen Sie WSUS, SCCM oder Intune fuer die automatisierte Verteilung.
-
Ransomware-Schutzmassnahmen verstaerken: Angesichts der bestaetigten Ransomware-Nutzung: Ueberpruefen Sie Ihre Backup-Strategie (3-2-1-Regel), stellen Sie sicher, dass Backups offline oder unveraenderlich gespeichert sind, und testen Sie die Wiederherstellungsfaehigkeit.
-
Endpoint Detection and Response (EDR) ueberpruefen: Stellen Sie sicher, dass Ihre EDR-Loesung verdaechtige Aktivitaeten im Kontext des Windows Error Reporting Service erkennt. Implementieren Sie Regeln zur Erkennung von Rechteeskalation ueber WER-Prozesse (wermgr.exe, WerFault.exe).
-
Least-Privilege-Prinzip durchsetzen: Minimieren Sie die Anzahl der Benutzerkonten mit lokalen Administratorrechten. Implementieren Sie PAM-Loesungen (Privileged Access Management) und beschraenken Sie die lokale Anmeldung auf Servern auf autorisierte Administratoren.
Technische Details
CVE-2024-26169 betrifft den Windows Error Reporting Service in nahezu allen unterstuetzten Windows-Versionen. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt die Angriffseigenschaften. Angriffsvektor (Lokal): Der Angreifer benoetigt lokalen Zugang zum System, beispielsweise ueber einen kompromittierten Benutzer-Account, eine Phishing-Attacke oder einen bereits installierten initialen Zugang. Angriffskomplexitaet (Niedrig): Die Ausnutzung erfordert keine besonderen Bedingungen oder spezifisches Timing. Berechtigungen (Niedrig): Ein normaler Benutzer-Account genuegt als Ausgangspunkt. Benutzerinteraktion (Keine): Der Exploit kann ohne Zutun eines anderen Benutzers ausgefuehrt werden. Der Angriffsmechanismus nutzt eine Schwachstelle im Windows Error Reporting Service (wermgr.exe/WerFault.exe), einem Systemdienst, der mit SYSTEM-Berechtigungen laeuft. Durch die Ausnutzung kann ein Angreifer Code im Kontext des SYSTEM-Kontos ausfuehren. Die betroffenen Systeme umfassen Windows 10 ab Version 1507, Windows 11 ab 21H2, sowie Windows Server 2008 (einschliesslich R2), Windows Server 2012 (einschliesslich R2), Windows Server 2016, 2019, 2022 und 2022 23H2.
Häufig gestellte Fragen
Wird CVE-2024-26169 aktiv fuer Ransomware-Angriffe genutzt?
Ja, der Ransomware-Status ist von der CISA als "Known" eingestuft. Das bedeutet, dass Ransomware-Gruppen die Schwachstelle bestaetigt in ihren Angriffsketten verwenden, typischerweise nach einem initialen Zugang ueber Phishing oder andere Vektoren, um SYSTEM-Rechte zu erlangen und anschliessend Verschluesselung durchzufuehren.
Warum ist der Windows Error Reporting Service ein attraktives Ziel?
Der WER-Dienst laeuft mit SYSTEM-Berechtigungen, dem hoechsten Berechtigungskontext unter Windows. Er ist auf allen Windows-Systemen standardmaessig aktiv und kann nicht ohne Weiteres deaktiviert werden, ohne andere Systemfunktionen zu beeintraechtigen. Dies macht ihn zu einem attraktiven Ziel fuer Privilege-Escalation-Angriffe.
Kann ich den Windows Error Reporting Service deaktivieren, um die Schwachstelle zu mitigieren?
Die Deaktivierung des WER-Dienstes ist als temporaere Massnahme moeglich, kann jedoch zu Funktionseinschraenkungen fuehren, insbesondere bei der Absturz-Diagnose und bei Windows-Update-Funktionen. Das Einspielen des Sicherheitsupdates ist die empfohlene und nachhaltige Loesung.
Welche Systeme sollte ich zuerst patchen?
Priorisieren Sie Systeme, die dem Internet ausgesetzt sind oder auf die viele Benutzer Zugriff haben. Domaincontroller, File-Server und Terminal-Server sind besonders kritisch, da eine SYSTEM-Rechteeskalation auf diesen Systemen die gesamte Active-Directory-Infrastruktur gefaehrden kann.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.