CVE-2024-38107
Microsoft Windows Power Dependency Coordinator Privilege Escalation Vulnerability
Beschreibung
CVE-2024-38107 ist eine hochkritische Elevation-of-Privilege-Schwachstelle im Windows Power Dependency Coordinator von Microsoft. Die Sicherheitslücke ermöglicht es einem lokal authentifizierten Angreifer, durch Ausnutzung des Power Dependency Coordinators vollständige SYSTEM-Rechte zu erlangen. Mit einem CVSS-Score von 7.8 (HIGH) betrifft die Schwachstelle nahezu alle unterstützten Windows-Versionen inklusive Server-Editionen. Die CISA hat diese Schwachstelle in ihren Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, was bestätigte Ausnutzung in freier Wildbahn belegt. Der EPSS-Score liegt bei 3,35 % (87,1. Perzentil), was auf eine überdurchschnittliche Wahrscheinlichkeit aktiver Exploitation hindeutet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20751 |
| microsoft | windows 10 1607 | < 10.0.14393.7259 |
| microsoft | windows 10 1809 | < 10.0.17763.6189 |
| microsoft | windows 10 21h2 | < 10.0.19044.4780 |
| microsoft | windows 10 22h2 | < 10.0.19045.4780 |
| microsoft | windows 11 21h2 | < 10.0.22000.3147 |
| microsoft | windows 11 22h2 | < 10.0.22621.4037 |
| microsoft | windows 11 23h2 | < 10.0.22631.4037 |
| microsoft | windows 11 24h2 | < 10.0.26100.1457 |
| microsoft | windows server 2012 | < 6.2.9200.25031; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7259 |
| microsoft | windows server 2019 | < 10.0.17763.6189 |
| microsoft | windows server 2022 | < 10.0.20348.2655 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1085 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38107(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38107(US Government Resource)
Schwachstellentyp
Für CVE-2024-38107 wurde von Microsoft kein spezifischer CWE-Typ zugewiesen. Basierend auf der Schwachstellenbeschreibung handelt es sich um eine Privilege-Escalation-Schwachstelle im Windows Power Dependency Coordinator, einer Systemkomponente zur Verwaltung von Energieabhängigkeiten. Die Schwachstelle ermöglicht es einem Angreifer mit niedrigen Rechten, durch fehlerhafte Rechteverwaltung in dieser Komponente eine vollständige Erhöhung der Berechtigungen auf SYSTEM-Level zu erzielen. Typische Ursachen für solche Schwachstellen sind unsichere Handhabung von Objekten im Kernel-Modus, Race Conditions bei der Ressourcenverwaltung oder unzureichende Validierung von Benutzereingaben in privilegierten Systemdiensten.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38107 sind erheblich und betreffen alle drei Schutzziele der Informationssicherheit. Vertraulichkeit: Ein erfolgreicher Angriff gewährt vollständigen Lesezugriff auf alle Daten des Systems, einschließlich Anmeldeinformationen, verschlüsselter Dateien und vertraulicher Dokumente. Integrität: Mit SYSTEM-Rechten kann ein Angreifer beliebige Dateien manipulieren, Malware installieren, Sicherheitssoftware deaktivieren und Backdoors einrichten. Verfügbarkeit: Der Angreifer kann Systemdienste stören, Daten löschen oder das System vollständig unbrauchbar machen. Der lokale Angriffsvektor (AV:L) erfordert zwar physischen oder Remote-Desktop-Zugang zum System, jedoch ist die Ausnutzung mit niedriger Komplexität (AC:L) und nur geringen Berechtigungen (PR:L) möglich, was die praktische Gefahr erhöht. Der EPSS-Score von 3,35 % (87,1. Perzentil) und die Aufnahme in den CISA KEV-Katalog unterstreichen die aktive Bedrohungslage. Obwohl die Ransomware-Nutzung derzeit als unbekannt eingestuft wird, sind Elevation-of-Privilege-Schwachstellen häufig ein zentraler Baustein in Ransomware-Angriffsketten.
Exploit-Reifegrad
CVE-2024-38107 wird von der CISA als aktiv ausgenutzte Schwachstelle geführt und wurde am 13. August 2024 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. September 2024. Dies bestätigt, dass die Schwachstelle in realen Angriffen verwendet wird. Der EPSS-Score von 3,35 % ordnet die Schwachstelle im 87,1. Perzentil ein, was bedeutet, dass sie eine höhere Ausnutzungswahrscheinlichkeit aufweist als 87 % aller bekannten Schwachstellen. Bezüglich Ransomware-Nutzung wird der Status derzeit als "Unbekannt" geführt, allerdings sind Privilege-Escalation-Schwachstellen in Windows-Systemkomponenten typische Werkzeuge in mehrstufigen Ransomware-Kampagnen. Öffentliche Exploit-Details sind über das Microsoft Security Response Center verfügbar, und die Ausnutzung erfordert lediglich lokalen Zugriff mit niedrigen Berechtigungen, was die Einstiegshürde für Angreifer senkt.
Behebung
-
Sofortige Installation der Microsoft-Sicherheitsupdates: Installieren Sie umgehend die im August 2024 veröffentlichten Patches über Windows Update oder den Microsoft Update Catalog. Die gepatchten Versionen variieren je nach Windows-Edition, etwa 10.0.19045.4780 für Windows 10 22H2 oder 10.0.22631.4037 für Windows 11 23H2.
-
Patch-Priorisierung für alle betroffenen Systeme: Aufgrund der bestätigten aktiven Ausnutzung und der CISA-Behebungsfrist vom 3. September 2024 sollten alle betroffenen Systeme — einschließlich Windows 10, Windows 11 und Windows Server 2012 bis 2022 — mit höchster Priorität aktualisiert werden.
-
Überprüfung auf Kompromittierungsindikatoren: Prüfen Sie betroffene Systeme auf ungewöhnliche Prozessaktivitäten im Kontext des Power Dependency Coordinator-Dienstes. Suchen Sie nach verdächtigen Prozessen mit erhöhten Berechtigungen und unerwarteten Systemänderungen.
-
Einschränkung lokaler Zugriffsrechte: Da die Ausnutzung lokalen Zugriff erfordert, minimieren Sie die Angriffsfläche durch konsequente Anwendung des Least-Privilege-Prinzips. Reduzieren Sie die Anzahl lokaler Benutzerkonten und schränken Sie Remote-Desktop-Zugriff auf das Notwendige ein.
-
Netzwerksegmentierung und Monitoring verstärken: Implementieren Sie Enhanced Monitoring auf Endpunkten mittels EDR-Lösungen, um Privilege-Escalation-Versuche frühzeitig zu erkennen. Segmentieren Sie kritische Server-Systeme vom allgemeinen Netzwerk.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38107 lautet CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H mit einem Gesamtscore von 7.8 (HIGH). Angriffsvektor (AV:L): Die Schwachstelle erfordert lokalen Zugriff auf das Zielsystem, beispielsweise über eine bestehende Sitzung, Remote Desktop oder eine vorherige Kompromittierung. Angriffskomplexität (AC:L): Die Ausnutzung ist ohne besondere Voraussetzungen oder spezielle Bedingungen möglich, was die praktische Durchführbarkeit erhöht. Erforderliche Berechtigungen (PR:L): Es genügen niedrige Berechtigungen wie ein normales Benutzerkonto, um den Angriff durchzuführen. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion ist erforderlich, der Angriff kann vollautomatisch ablaufen. Scope (S:U): Der Angriff bleibt im Kontext der betroffenen Komponente, wobei SYSTEM-Rechte innerhalb des Windows-Betriebssystems erlangt werden. Der Windows Power Dependency Coordinator ist ein Systemdienst, der Energieabhängigkeiten zwischen Geräten und Treibern verwaltet. Die Schwachstelle liegt in der fehlerhaften Verarbeitung von Anfragen an diesen Dienst, wodurch ein Angreifer mit lokalen Berechtigungen die Kontrolle über den Dienstkontext erlangen und SYSTEM-Rechte erhalten kann. Die breite Betroffenheit von Windows 10 1507 bis Windows 11 24H2 sowie Windows Server 2012 bis 2022 23H2 zeigt, dass es sich um eine grundlegende Architektur-Schwachstelle in der Power-Management-Schicht handelt.
Häufig gestellte Fragen
Was ist der Windows Power Dependency Coordinator?
Der Power Dependency Coordinator ist ein interner Windows-Systemdienst, der die Energieabhängigkeiten zwischen Hardware-Komponenten, Treibern und dem Betriebssystem koordiniert. Er stellt sicher, dass Geräte korrekt in Energiesparzustände wechseln und wieder aktiviert werden. Die Schwachstelle in dieser Komponente ermöglicht eine Rechteausweitung auf SYSTEM-Level.
Wird CVE-2024-38107 aktiv in Angriffen ausgenutzt?
Ja, die CISA hat diese Schwachstelle in ihren Known Exploited Vulnerabilities Katalog aufgenommen, was bestätigte Ausnutzung in realen Angriffen belegt. Die Behebungsfrist wurde auf den 3. September 2024 gesetzt. Organisationen sollten die verfügbaren Patches daher mit höchster Priorität installieren.
Welche Windows-Versionen sind betroffen?
Nahezu alle aktuell unterstützten Windows-Versionen sind betroffen, darunter Windows 10 (ab Version 1507), Windows 11 (alle Versionen bis 24H2) sowie Windows Server 2012 bis Windows Server 2022 23H2. Die spezifischen Patch-Versionen finden Sie im Microsoft Security Update Guide.
Kann die Schwachstelle remote ausgenutzt werden?
Der Angriffsvektor ist lokal (AV:L), was bedeutet, dass ein Angreifer zunächst lokalen Zugriff auf das System benötigt. Dies kann jedoch über Remote Desktop, eine bereits bestehende Malware-Infektion oder Social Engineering erreicht werden. In Kombination mit einer Remote-Schwachstelle kann CVE-2024-38107 als zweite Stufe in einer Angriffskette eingesetzt werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.