CVE-2024-38080
Microsoft Windows Hyper-V Privilege Escalation Vulnerability
Beschreibung
CVE-2024-38080 ist eine schwerwiegende Elevation-of-Privilege-Schwachstelle in Microsoft Windows Hyper-V, die es einem lokalen Angreifer mit niedrigen Berechtigungen ermoeglicht, SYSTEM-Rechte auf dem Host-Betriebssystem zu erlangen. Die Schwachstelle wird mit einem CVSS-Score von 7.8 (HIGH) bewertet und betrifft Windows 11 (Versionen 21H2, 22H2, 23H2) sowie Windows Server 2022.
Die CISA hat CVE-2024-38080 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, mit einer Behebungsfrist bis zum 2024-07-30. Der EPSS-Score von 13,97 % (94,2. Perzentil) weist auf eine signifikant erhoehte Ausnutzungswahrscheinlichkeit hin. Da Hyper-V in vielen Unternehmensumgebungen als zentrale Virtualisierungsplattform eingesetzt wird, stellt diese Schwachstelle ein erhebliches Risiko fuer die gesamte virtualisierte Infrastruktur dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 11 21h2 | < 10.0.22000.3079 |
| microsoft | windows 11 22h2 | < 10.0.22621.3880 |
| microsoft | windows 11 23h2 | < 10.0.22631.3880 |
| microsoft | windows server 2022 | < 10.0.20348.2582 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1009 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38080(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38080(US Government Resource)
Schwachstellentyp
Elevation of Privilege in Hypervisoren
CVE-2024-38080 ist eine Rechteausweitung (Elevation of Privilege) in der Hyper-V-Virtualisierungskomponente von Windows. Ein authentifizierter Angreifer mit niedrigen Rechten kann durch Ausnutzung dieser Schwachstelle SYSTEM-Privilegien erlangen. Schwachstellen in Hypervisoren sind besonders kritisch, da sie die Isolation zwischen virtualisierten Workloads gefaehrden und einem Angreifer moeglicherweise Zugriff auf den gesamten Host sowie andere virtuelle Maschinen ermoeglichen koennen.
Diese Art von Schwachstelle faellt in den Bereich der unzureichenden Berechtigungspruefung, bei der ein System die Privilegien eines Benutzers nicht korrekt durchsetzt und so eine Eskalation auf hoeherer Ebene ermoeglicht.
Weitere Informationen: CWE-269 -- Improper Privilege Management
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38080 sind erheblich, da sie die Privilegieneskalation auf SYSTEM-Ebene ueber die Hyper-V-Komponente ermoeglicht. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen lokalen Angriff mit niedriger Komplexitaet. Vertraulichkeit (Hoch): Ein Angreifer mit SYSTEM-Rechten kann auf saemtliche Daten des Hostsystems zugreifen, einschliesslich Konfigurationen virtueller Maschinen, Snapshots und gespeicherter Zugangsdaten. Integritaet (Hoch): Mit SYSTEM-Privilegien koennen Systemdateien, Sicherheitsrichtlinien und Hyper-V-Konfigurationen manipuliert werden. Der Angreifer koennte Backdoors installieren oder Sicherheitsmechanismen deaktivieren. Verfuegbarkeit (Hoch): Das Hostsystem und alle darauf laufenden virtuellen Maschinen koennen zum Absturz gebracht oder in einen nicht funktionsfaehigen Zustand versetzt werden. Der EPSS-Score von 13,97 % (94,2. Perzentil) signalisiert eine deutlich ueberdurchschnittliche Ausnutzungswahrscheinlichkeit. In Kombination mit der bestaetigt aktiven Ausnutzung (KEV-Katalog) ist die unmittelbare Bedrohung als hoch einzustufen.
Exploit-Reifegrad
CVE-2024-38080 weist eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-07-30 in den KEV-Katalog aufgenommen. Der EPSS-Score von 13,97 % (94,2. Perzentil) liegt deutlich ueber dem Durchschnitt und zeigt eine erhoehte Ausnutzungsaktivitaet an. Microsoft hat die Schwachstelle im Rahmen des Juli 2024 Patch Tuesday als aktiv ausgenutzte Zero-Day-Schwachstelle veroeffentlicht. Zum aktuellen Zeitpunkt ist der Ransomware-Status als Unknown eingestuft, was bedeutet, dass eine Nutzung durch Ransomware-Gruppen weder bestaetigt noch ausgeschlossen ist. Die Kombination aus bestaetigt aktiver Ausnutzung und der strategischen Bedeutung von Hyper-V in Unternehmensumgebungen macht ein sofortiges Patchen zwingend erforderlich.
Behebung
-
Windows-Sicherheitsupdate vom Juli 2024 installieren: Wenden Sie umgehend das kumulative Sicherheitsupdate an, das Microsoft im Rahmen des Patch Tuesday vom Juli 2024 veroeffentlicht hat. Konsultieren Sie das Microsoft Security Update Guide fuer CVE-2024-38080 fuer die exakten Versionsnummern.
-
Betroffene Systeme priorisieren: Aktualisieren Sie zuerst Hyper-V-Hosts, die produktive virtuelle Maschinen betreiben. Betroffene Versionen sind Windows 11 21H2 (< 10.0.22000.3079), Windows 11 22H2 (< 10.0.22621.3880), Windows 11 23H2 (< 10.0.22631.3880), Windows Server 2022 (< 10.0.20348.2582) und Windows Server 2022 23H2 (< 10.0.25398.1009).
-
Zugriffskontrolle auf Hyper-V-Hosts verstaerken: Beschraenken Sie lokale Anmeldungen auf Hyper-V-Hosts auf autorisierte Administratoren. Implementieren Sie das Prinzip der minimalen Berechtigungen und ueberpruefen Sie, welche Benutzer lokalen Zugriff auf Hyper-V-Server haben.
-
Monitoring und Erkennung aktivieren: Aktivieren Sie erweitertes Logging auf Hyper-V-Hosts und ueberwachen Sie verdaechtige Prozessaktivitaeten, insbesondere ungewoehnliche Rechteeskalationen. Ueberpruefen Sie Sicherheitsprotokolle auf Anzeichen einer bereits erfolgten Kompromittierung.
-
Netzwerksegmentierung ueberpruefen: Stellen Sie sicher, dass Hyper-V-Management-Netzwerke von Produktionsnetzwerken getrennt sind, um die Angriffsflaeche fuer potenzielle lokale Angreifer zu minimieren.
Technische Details
CVE-2024-38080 betrifft die Hyper-V-Komponente in Windows 11 und Windows Server 2022. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt die Bedrohungscharakteristik im Detail. Angriffsvektor (Lokal): Der Angreifer benoetigt lokalen Zugang zum System, beispielsweise ueber ein Gastsystem, eine RDP-Sitzung oder eine kompromittierte Anwendung auf dem Host. Angriffskomplexitaet (Niedrig): Keine besonderen Bedingungen oder spezifisches Wissen ueber die Zielumgebung erforderlich. Berechtigungen (Niedrig): Ein normaler Benutzer-Account genuegt als Ausgangspunkt. Benutzerinteraktion (Keine): Der Exploit kann ohne Zutun eines anderen Benutzers ausgefuehrt werden. Scope (Unchanged): Die Auswirkungen bleiben innerhalb des angegriffenen Sicherheitskontextes, wobei die Eskalation auf SYSTEM-Ebene trotzdem die vollstaendige Kontrolle ueber das Hostsystem ermoeglicht. Der Angriffsmechanismus nutzt eine Schwachstelle in der Hyper-V-Implementierung aus, die es einem authentifizierten Benutzer mit niedrigen Privilegien ermoeglicht, Code im Kontext des SYSTEM-Kontos auszufuehren. Dies ist besonders kritisch, da SYSTEM der hoechste Berechtigungskontext unter Windows ist.
Häufig gestellte Fragen
Sind virtuelle Maschinen auf dem betroffenen Hyper-V-Host ebenfalls gefaehrdet?
Da CVE-2024-38080 die Eskalation auf SYSTEM-Privilegien auf dem Hyper-V-Host ermoeglicht, sind indirekt auch alle darauf laufenden virtuellen Maschinen gefaehrdet. Ein Angreifer mit SYSTEM-Rechten auf dem Host kann auf VM-Konfigurationen, virtuelle Festplatten und Snapshots zugreifen.
Ist CVE-2024-38080 eine Gastausbruch-Schwachstelle (VM Escape)?
Microsoft klassifiziert CVE-2024-38080 als Elevation of Privilege in Hyper-V, jedoch nicht explizit als VM Escape. Der Scope-Wert im CVSS ist "Unchanged", was darauf hindeutet, dass der Angreifer bereits lokalen Zugang zum Host benoetigt. Dennoch sollte die Schwachstelle aufgrund der CISA-Warnung mit hoechster Prioritaet behoben werden.
Welche Windows-Versionen sind betroffen?
Betroffen sind Windows 11 21H2, 22H2 und 23H2 sowie Windows Server 2022 und Windows Server 2022 23H2. Aeltere Windows-Versionen und Windows 10 sind laut Microsoft nicht betroffen.
Muss ich den Hyper-V-Host fuer das Update neu starten?
Ja, kumulative Windows-Sicherheitsupdates erfordern in der Regel einen Neustart. Planen Sie ein Wartungsfenster ein und migrieren Sie laufende virtuelle Maschinen vorher auf einen bereits gepatchten Host, um Ausfallzeiten zu minimieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.