CVE-2024-38014
Microsoft Windows Installer Improper Privilege Management Vulnerability
Beschreibung
CVE-2024-38014 ist eine Elevation of Privilege-Schwachstelle im Windows Installer-Dienst, die es einem lokal authentifizierten Angreifer mit niedrigen Berechtigungen ermöglicht, SYSTEM-Rechte auf dem betroffenen System zu erlangen. Die Schwachstelle betrifft alle unterstützten Windows-Versionen von Windows 10 bis Windows Server 2022 und wird mit einem CVSS-Score von 7.8 (HIGH) bewertet. Mit einem EPSS-Score von 0.12828 (93.9. Perzentil) und der Aufnahme in den CISA KEV-Katalog ist die aktive Ausnutzung in freier Wildbahn bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20766 |
| microsoft | windows 10 1607 | < 10.0.14393.7336 |
| microsoft | windows 10 1809 | < 10.0.17763.6293 |
| microsoft | windows 10 21h2 | < 10.0.19044.4894 |
| microsoft | windows 10 22h2 | < 10.0.19045.4894 |
| microsoft | windows 11 21h2 | < 10.0.22000.3197 |
| microsoft | windows 11 22h2 | < 10.0.22621.4169 |
| microsoft | windows 11 23h2 | < 10.0.22631.4169 |
| microsoft | windows 11 24h2 | < 10.0.26100.1742 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7336 |
| microsoft | windows server 2019 | < 10.0.17763.6293 |
| microsoft | windows server 2022 | < 10.0.20348.2700 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1128 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38014(Patch, Vendor Advisory)
- http://seclists.org/fulldisclosure/2024/Sep/43(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38014(US Government Resource)
Schwachstellentyp
Für CVE-2024-38014 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle gehört zur Kategorie Elevation of Privilege (EoP) und betrifft den Windows Installer-Dienst (msiexec.exe). Bei dieser Art von Schwachstelle kann ein Angreifer, der bereits über eingeschränkten Zugang zum System verfügt, seine Berechtigungen auf SYSTEM-Level erhöhen. Der Windows Installer-Dienst läuft mit SYSTEM-Privilegien und verarbeitet MSI-Installationspakete. Durch Ausnutzung einer Schwachstelle im Installer-Prozess kann ein Angreifer Code im Kontext des SYSTEM-Kontos ausführen, was die höchste Berechtigungsstufe unter Windows darstellt.
Auswirkungsanalyse
Die Ausnutzung von CVE-2024-38014 hat schwerwiegende Auswirkungen auf die Systemsicherheit. Vertraulichkeit: Mit SYSTEM-Rechten kann ein Angreifer auf sämtliche Daten des betroffenen Systems zugreifen, einschließlich geschützter Systemdateien, Konfigurationsdaten und Credentials anderer Benutzer. Integrität: Der Angreifer kann beliebige Systemänderungen vornehmen, Malware persistent installieren, Sicherheitssoftware deaktivieren und Backdoors einrichten. Verfügbarkeit: Vollständige Kontrolle über das System ermöglicht die Beeinträchtigung oder den Ausfall kritischer Dienste. Der EPSS-Score von 0.12828 (93.9. Perzentil) signalisiert eine hohe Wahrscheinlichkeit aktiver Ausnutzung. Die Aufnahme in den CISA KEV-Katalog bestätigt, dass die Schwachstelle bereits in realen Angriffen verwendet wird. Der Ransomware-Status ist als "Unknown" eingestuft, jedoch ist eine Privilege Escalation auf SYSTEM-Level ein typischer Schritt in Ransomware-Angriffsketten, da sie die vollständige Verschlüsselung des Systems ermöglicht.
Exploit-Reifegrad
CVE-2024-38014 wird aktiv in freier Wildbahn ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. Oktober 2024. Der EPSS-Score von 0.12828 liegt im 93.9. Perzentil. Technische Details zur Schwachstelle wurden über eine Mailing-List-Veröffentlichung auf SecLists publiziert, die Angreifern als Grundlage für die Entwicklung von Exploits dienen kann. Die Kombination aus aktiver Ausnutzung, öffentlichen technischen Details und der weiten Verbreitung des Windows Installer-Dienstes auf allen Windows-Systemen macht diese Schwachstelle besonders kritisch. Der Ransomware-Bezug ist als "Unknown" klassifiziert, aber EoP-Schwachstellen im Windows Installer sind historisch ein bevorzugtes Werkzeug für Post-Exploitation in Ransomware-Kampagnen.
Behebung
-
Microsoft-Sicherheitsupdate installieren: Installieren Sie umgehend das Sicherheitsupdate vom September 2024 über Windows Update oder den Microsoft Update Catalog. Priorisieren Sie kritische Server und Systeme mit sensiblen Daten.
-
Patch-Abdeckung sicherstellen: Überprüfen Sie systematisch alle Windows-Systeme in Ihrer Infrastruktur, von Windows 10 1507 bis Windows Server 2022 23H2. Nutzen Sie Ihr Patch-Management-System, um ungepatchte Systeme zu identifizieren und priorisiert zu aktualisieren.
-
Least-Privilege-Prinzip durchsetzen: Stellen Sie sicher, dass Benutzer nur die minimal notwendigen Berechtigungen besitzen. Beschränken Sie die Möglichkeit zur Installation von Software über Gruppenrichtlinien (GPO) und deaktivieren Sie den Windows Installer-Dienst auf Systemen, die keine Software-Installationen benötigen.
-
Endpoint Detection and Response (EDR) optimieren: Konfigurieren Sie Ihre EDR-Lösung zur Erkennung verdächtiger Privilege-Escalation-Versuche über den Windows Installer-Dienst. Überwachen Sie insbesondere ungewöhnliche msiexec.exe-Prozesse und deren Kindprozesse mit erhöhten Rechten.
-
Incident Response vorbereiten: Prüfen Sie Systeme auf Anzeichen einer bereits erfolgten Ausnutzung. Analysieren Sie Windows-Event-Logs auf verdächtige Installer-Aktivitäten und ungewöhnliche Prozesserstellungen mit SYSTEM-Rechten.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38014 lautet CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H mit einem Score von 7.8 (HIGH). Angriffsvektor (AV:L): Die Ausnutzung erfordert lokalen Zugang zum System. Angriffskomplexität (AC:L): Keine besonderen Bedingungen für die Ausnutzung erforderlich. Erforderliche Berechtigungen (PR:L): Geringe Berechtigungen ausreichend, ein normales Benutzerkonto genügt. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich. Scope (S:U): Die Auswirkungen beschränken sich auf die betroffene Komponente. Auswirkungen (C:H/I:H/A:H): Vertraulichkeit, Integrität und Verfügbarkeit sind vollständig betroffen. Der Windows Installer-Dienst (msiexec.exe) läuft standardmäßig mit SYSTEM-Privilegien, um Software-Installationen durchzuführen. Die Schwachstelle ermöglicht es einem Angreifer mit niedrigen Berechtigungen, den Installer-Prozess so zu manipulieren, dass beliebiger Code im Kontext des SYSTEM-Kontos ausgeführt wird. Dies geschieht durch Ausnutzung einer unsicheren Handhabung von Installationsprozessen, bei der der Angreifer in den privilegierten Ausführungskontext des Installers eingreifen kann.
Häufig gestellte Fragen
Was ist CVE-2024-38014?
CVE-2024-38014 ist eine Elevation of Privilege-Schwachstelle im Windows Installer-Dienst. Sie ermöglicht es einem Angreifer mit eingeschränktem Benutzerkonto, SYSTEM-Rechte auf dem betroffenen Windows-System zu erlangen. Die Schwachstelle wird aktiv ausgenutzt und ist im CISA KEV-Katalog gelistet.
Welche Windows-Versionen sind von CVE-2024-38014 betroffen?
Alle unterstützten Windows-Versionen sind betroffen, darunter Windows 10 (ab Version 1507), Windows 11 (21H2 bis 24H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022 einschließlich der 23H2-Version. Microsoft hat für alle betroffenen Versionen Sicherheitsupdates bereitgestellt.
Wie gefährlich ist eine Privilege Escalation auf SYSTEM-Level?
Eine Privilege Escalation auf SYSTEM-Level ist eine der kritischsten Schwachstellenkategorien unter Windows. SYSTEM ist das höchstprivilegierte Konto und hat vollständigen Zugriff auf alle Ressourcen des lokalen Systems. Ein Angreifer kann damit Sicherheitssoftware deaktivieren, persistente Backdoors installieren und das System vollständig kontrollieren.
Benötigt ein Angreifer physischen Zugang zum System?
Nicht unbedingt. Obwohl der CVSS-Vektor "Local" angibt, kann ein Angreifer den lokalen Zugang auch über Remote-Methoden wie RDP, SSH oder eine bereits installierte Remote-Shell erlangen. Die Schwachstelle wird typischerweise als Teil einer Angriffskette verwendet, bei der der initiale Zugang über andere Methoden erfolgt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.