CVE-2024-38106
Microsoft Windows Kernel Privilege Escalation Vulnerability
Beschreibung
CVE-2024-38106 ist eine Elevation-of-Privilege-Schwachstelle im Windows-Kernel von Microsoft mit einem CVSS-Score von 7.0 (HIGH). Die Sicherheitslücke ermöglicht es einem lokal authentifizierten Angreifer, durch eine Race Condition im Kernel vollständige SYSTEM-Rechte zu erlangen. Die Schwachstelle betrifft sämtliche unterstützten Windows-Versionen von Windows 10 1507 bis Windows 11 24H2 sowie Windows Server 2016 bis 2022 23H2. Die CISA hat CVE-2024-38106 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, was aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score beträgt 0,75 % (72,9. Perzentil).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20751 |
| microsoft | windows 10 1607 | < 10.0.14393.7259 |
| microsoft | windows 10 1809 | < 10.0.17763.6189 |
| microsoft | windows 10 21h2 | < 10.0.19044.4780 |
| microsoft | windows 10 22h2 | < 10.0.19045.4780 |
| microsoft | windows 11 21h2 | < 10.0.22000.3147 |
| microsoft | windows 11 22h2 | < 10.0.22621.4037 |
| microsoft | windows 11 23h2 | < 10.0.22631.4037 |
| microsoft | windows 11 24h2 | < 10.0.26100.1457 |
| microsoft | windows server 2016 | < 10.0.14393.7259 |
| microsoft | windows server 2019 | < 10.0.17763.6189 |
| microsoft | windows server 2022 | < 10.0.20348.2655 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1085 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38106(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38106(US Government Resource)
Schwachstellentyp
Für CVE-2024-38106 wurde kein spezifischer CWE-Typ durch Microsoft zugewiesen. Aufgrund der Schwachstellenbeschreibung und des CVSS-Vektors mit hoher Angriffskomplexität (AC:H) handelt es sich mit hoher Wahrscheinlichkeit um eine Race Condition im Windows-Kernel. Bei dieser Art von Schwachstelle versuchen zwei oder mehr Prozesse gleichzeitig auf eine gemeinsame Ressource zuzugreifen, wobei das Timing des Zugriffs bestimmt, welcher Prozess die Kontrolle erhält. Durch geschicktes Ausnutzen dieses Zeitfensters kann ein Angreifer den Kernel-Kontext manipulieren und seine Berechtigungen von einem normalen Benutzer auf SYSTEM-Level erhöhen. Race Conditions im Kernel sind besonders gefährlich, da sie die fundamentalste Sicherheitsebene des Betriebssystems betreffen.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38106 erstrecken sich auf alle drei Schutzziele der Informationssicherheit mit jeweils hohem Schweregrad. Vertraulichkeit: Ein Angreifer mit SYSTEM-Rechten hat uneingeschränkten Lesezugriff auf alle Dateien, Anmeldeinformationen, Zertifikate und vertrauliche Daten auf dem kompromittierten System. Integrität: SYSTEM-Rechte ermöglichen die Manipulation beliebiger Systemdateien, die Installation von Rootkits, das Deaktivieren von Sicherheitssoftware und das Einrichten persistenter Backdoors. Verfügbarkeit: Der Angreifer kann Systemdienste beenden, Daten vernichten oder das gesamte System destabilisieren. Die höhere Angriffskomplexität (AC:H) im Vergleich zu anderen Kernel-Schwachstellen mindert die Gefahr geringfügig, da der Angreifer eine Race Condition zuverlässig triggern muss. Dennoch belegt die Aufnahme in den CISA KEV-Katalog, dass erfahrene Angreifer diese Hürde überwinden können. Der EPSS-Score von 0,75 % (72,9. Perzentil) deutet auf eine moderate Ausnutzungswahrscheinlichkeit hin. Der Ransomware-Status ist als "Unbekannt" klassifiziert, jedoch sind Kernel-Level-Exploits häufig Bestandteil fortgeschrittener Angriffsketten.
Exploit-Reifegrad
CVE-2024-38106 wurde am 13. August 2024 in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer behördlichen Behebungsfrist bis zum 3. September 2024. Die Aufnahme bestätigt, dass die Schwachstelle aktiv in Angriffen ausgenutzt wird. Der EPSS-Score liegt bei 0,75 % und ordnet die Schwachstelle im 72,9. Perzentil ein — dies bedeutet eine höhere Ausnutzungswahrscheinlichkeit als bei rund 73 % aller bekannten Schwachstellen. Die Ransomware-Nutzung wird derzeit als "Unbekannt" eingestuft. Die höhere Angriffskomplexität (AC:H) deutet darauf hin, dass die Ausnutzung ein präzises Timing erfordert, was die Schwachstelle primär für fortgeschrittene Bedrohungsakteure (APT-Gruppen) und gezielte Angriffe attraktiv macht. Öffentliche Exploit-Details sind über das Microsoft Security Response Center dokumentiert.
Behebung
-
Sofortige Installation der Sicherheitsupdates: Installieren Sie umgehend die im August 2024 veröffentlichten Kernel-Updates über Windows Update oder den Microsoft Update Catalog. Beachten Sie die spezifischen Patch-Versionen für Ihre Windows-Edition.
-
Priorisierung aller betroffenen Systeme: Aufgrund der bestätigten aktiven Ausnutzung und der CISA-Behebungsfrist müssen alle Systeme mit Windows 10, Windows 11 und Windows Server 2016 bis 2022 23H2 mit höchster Priorität aktualisiert werden.
-
Kernel-Integritätsprüfung durchführen: Überprüfen Sie betroffene Systeme auf Anzeichen einer Kompromittierung. Achten Sie auf ungewöhnliche Kernel-Module, verdächtige Treiber und unerklärliche Prozesse mit SYSTEM-Rechten. Nutzen Sie Tools wie Sysmon oder EDR-Lösungen für eine tiefgehende Analyse.
-
Least-Privilege-Prinzip konsequent anwenden: Da die Ausnutzung niedrige Berechtigungen erfordert (PR:L), minimieren Sie die Anzahl lokaler Benutzerkonten und schränken Sie lokale Anmeldungen auf Servern auf das absolut Notwendige ein.
-
Endpoint Detection and Response (EDR) aktivieren: Stellen Sie sicher, dass EDR-Lösungen auf allen Endpunkten aktiv sind und auf Kernel-Exploitversuche überwachen. Konfigurieren Sie Warnmeldungen für verdächtige Privilege-Escalation-Muster.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38106 lautet CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H mit einem Gesamtscore von 7.0 (HIGH). Angriffsvektor (AV:L): Die Ausnutzung erfordert lokalen Zugriff auf das Zielsystem, etwa über eine aktive Benutzersitzung oder Remote-Desktop-Verbindung. Angriffskomplexität (AC:H): Die Schwachstelle hat eine hohe Angriffskomplexität, was auf eine Race Condition im Kernel hindeutet. Der Angreifer muss das präzise Timing treffen, in dem der Kernel sich in einem verwundbaren Zustand befindet. Dies erfordert möglicherweise mehrere Versuche und ein tiefes Verständnis der internen Kernel-Abläufe. Erforderliche Berechtigungen (PR:L): Ein normales Benutzerkonto genügt als Ausgangspunkt für den Angriff. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion ist erforderlich. Scope (S:U): Der Angriff bleibt innerhalb der betroffenen Sicherheitsdomäne, wobei SYSTEM-Rechte erlangt werden. Die Schwachstelle liegt im Windows-Kernel selbst, der zentralen Betriebssystemkomponente, die Hardware-Zugriff, Speicherverwaltung und Prozesssteuerung koordiniert. Eine Race Condition im Kernel entsteht, wenn zwei Ausführungspfade gleichzeitig auf geteilte Kernel-Datenstrukturen zugreifen und die Synchronisierung unzureichend ist. Durch gezieltes Timing kann ein Angreifer den Kernel-Zustand manipulieren und eine Berechtigungserhöhung erreichen.
Häufig gestellte Fragen
Was macht die Angriffskomplexität bei CVE-2024-38106 hoch?
Die hohe Angriffskomplexität (AC:H) deutet auf eine Race Condition im Windows-Kernel hin. Der Angreifer muss ein präzises Zeitfenster treffen, in dem der Kernel verwundbar ist. Dies erfordert mehrere Versuche und fortgeschrittene Kenntnisse, reduziert den CVSS-Score aber nur moderat auf 7.0 statt 7.8.
Ist CVE-2024-38106 gefährlicher als CVE-2024-38107?
Beide Schwachstellen ermöglichen eine Rechteausweitung auf SYSTEM-Level, jedoch unterscheiden sie sich in der Angriffskomplexität. CVE-2024-38107 (Power Dependency Coordinator) hat eine niedrige Komplexität und einen Score von 7.8, während CVE-2024-38106 (Kernel Race Condition) eine hohe Komplexität und einen Score von 7.0 aufweist. Beide werden aktiv ausgenutzt und sollten gleichrangig gepatcht werden.
Welche Windows-Versionen sind von CVE-2024-38106 betroffen?
Betroffen sind Windows 10 ab Version 1507, Windows 11 alle Versionen bis 24H2, sowie Windows Server 2016 bis Windows Server 2022 23H2. Im Gegensatz zu einigen anderen August-2024-Patches ist Windows Server 2012 bei dieser Schwachstelle nicht betroffen.
Kann ein Standard-Benutzer diese Schwachstelle ausnutzen?
Ja, die Schwachstelle erfordert lediglich niedrige Berechtigungen (PR:L), was einem normalen Windows-Benutzerkonto entspricht. In Kombination mit der Kernel-Level-Wirkung macht dies die Schwachstelle besonders gefährlich für Umgebungen, in denen viele Benutzer lokalen Zugang zu Systemen haben.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.