CVE-2024-38112
Microsoft Windows MSHTML Platform Spoofing Vulnerability
Beschreibung
CVE-2024-38112 ist eine schwerwiegende Spoofing-Schwachstelle in der Windows MSHTML-Plattform, die es einem Angreifer ermoeglicht, durch speziell praeparierte Inhalte die Darstellung von Webinhalten zu manipulieren und so Benutzer zu taeuschen. Die Schwachstelle wird mit einem CVSS-Score von 7.5 (HIGH) bewertet und betrifft nahezu alle unterstuetzten Windows-Versionen, einschliesslich Windows 10, Windows 11 und saemtliche Windows Server-Editionen ab 2008.
Die CISA hat CVE-2024-38112 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-07-30. Der EPSS-Score von 92,68 % (99,7. Perzentil) gehoert zu den hoechsten ueberhaupt gemessenen Werten und weist auf massive Ausnutzungsaktivitaet hin. Die Schwachstelle wurde als Zero-Day-Exploit entdeckt und aktiv in gezielten Angriffen verwendet, bevor ein Patch verfuegbar war.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20710 |
| microsoft | windows 10 1607 | < 10.0.14393.7159 |
| microsoft | windows 10 1809 | < 10.0.17763.6054 |
| microsoft | windows 10 21h2 | < 10.0.19044.4651 |
| microsoft | windows 10 22h2 | < 10.0.19045.4651 |
| microsoft | windows 11 21h2 | < 10.0.22000.3079 |
| microsoft | windows 11 22h2 | < 10.0.22621.3880 |
| microsoft | windows 11 23h2 | < 10.0.22631.3880 |
| microsoft | windows server 2008 | - |
| microsoft | windows server 2012 | r2 |
| microsoft | windows server 2016 | < 10.0.14393.7159 |
| microsoft | windows server 2019 | < 10.0.17763.6054 |
| microsoft | windows server 2022 | < 10.0.20348.2582 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1009 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38112(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38112(US Government Resource)
Schwachstellentyp
MSHTML-Plattform-Spoofing
CVE-2024-38112 ist eine Spoofing-Schwachstelle in der MSHTML-Plattform (auch als Trident bekannt), der Rendering-Engine des Internet Explorers, die auch nach dessen Einstellung weiterhin als Windows-Systemkomponente aktiv ist. Angreifer koennen diese Schwachstelle ausnutzen, um die Darstellung von Inhalten so zu manipulieren, dass Benutzer taeuscht werden. Die hohe Angriffskomplexitaet (AC:H) deutet darauf hin, dass spezifische Bedingungen erfuellt sein muessen, etwa das Oeffnen speziell praeparierter Dateien durch das Opfer.
Diese Schwachstelle faellt in den Bereich von Content-Spoofing und URL-Spoofing, bei dem ein Angreifer dem Benutzer falsche Informationen ueber den tatsaechlichen Inhalt oder Ursprung einer Ressource praesentiert.
Weitere Informationen: CWE-451 -- User Interface (UI) Misrepresentation of Critical Information
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38112 sind trotz des Spoofing-Charakters gravierend, da die Schwachstelle als Einstiegspunkt fuer komplexere Angriffsketten dient. Der CVSS-Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H beschreibt einen netzwerkbasierten Angriff mit hoher Komplexitaet. Vertraulichkeit (Hoch): Durch erfolgreiche Ausnutzung kann der Angreifer vertrauliche Daten abgreifen, beispielsweise Zugangsdaten oder sensible Dokumente, die der getaeuschte Benutzer preisgibt. Integritaet (Hoch): Der Angreifer kann die Wahrnehmung des Benutzers manipulieren und so zur Ausfuehrung schaedlicher Aktionen verleiten, etwa zum Download und zur Ausfuehrung von Malware. Verfuegbarkeit (Hoch): Nachgelagerte Malware-Infektionen koennen die Verfuegbarkeit betroffener Systeme vollstaendig beeintraechtigen. Der EPSS-Score von 92,68 % (99,7. Perzentil) signalisiert eine nahezu sichere Ausnutzungsaktivitaet. Die extrem breite Palette betroffener Windows-Versionen verstaerkt die Bedrohungslage erheblich, da praktisch jede Windows-Installation als Angriffsziel in Frage kommt.
Exploit-Reifegrad
CVE-2024-38112 weist eine extrem hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-07-30 in den KEV-Katalog aufgenommen. Der EPSS-Score von 92,68 % (99,7. Perzentil) dokumentiert die massive Ausnutzungsaktivitaet. Die Schwachstelle wurde als Zero-Day entdeckt, das heisst, Angriffe fanden bereits vor Verfuegbarkeit des Patches statt. Sicherheitsforscher haben dokumentiert, dass Angreifer speziell praeparierte Internet-Shortcut-Dateien (.url) nutzten, um die MSHTML-Schwachstelle auszuloesen und so die Ausfuehrung schaedlichen Codes zu ermoeglichen. Der Ransomware-Status ist derzeit als Unknown eingestuft, eine Nutzung durch Ransomware-Gruppen kann jedoch nicht ausgeschlossen werden. Die Kombination aus Zero-Day-Status, extremem EPSS-Score und der Verfuegbarkeit in der Angriffsinfrastruktur macht sofortiges Patchen zwingend erforderlich.
Behebung
-
Windows-Sicherheitsupdate vom Juli 2024 umgehend installieren: Wenden Sie das kumulative Sicherheitsupdate an, das Microsoft im Rahmen des Patch Tuesday vom Juli 2024 veroeffentlicht hat. Details finden Sie im Microsoft Security Update Guide fuer CVE-2024-38112.
-
Alle Windows-Versionen im Unternehmen identifizieren und patchen: Die Schwachstelle betrifft ein aussergewoehnlich breites Spektrum: Windows 10 (1507 bis 22H2), Windows 11 (21H2 bis 23H2), Windows Server 2008 bis 2022 23H2. Nutzen Sie Patch-Management-Tools wie WSUS oder SCCM fuer die flaechendeckende Verteilung.
-
E-Mail- und Download-Filter verstaerken: Da der Angriffsvektor typischerweise ueber speziell praeparierte Dateien erfolgt, blockieren Sie verdaechtige Dateitypen (insbesondere .url-Dateien) in E-Mail-Gateways und Web-Proxies. Aktivieren Sie erweiterte Anhangsfilterung.
-
Benutzersensibilisierung durchfuehren: Informieren Sie Mitarbeiter ueber die erhoehte Bedrohungslage und warnen Sie vor dem Oeffnen unerwarteter Dateien oder Links, insbesondere aus unbekannten Quellen. Die Schwachstelle erfordert Benutzerinteraktion fuer die erfolgreiche Ausnutzung.
-
Endpoint Detection and Response (EDR) ueberpruefen: Stellen Sie sicher, dass Ihre EDR-Loesung MSHTML-basierte Angriffsversuche erkennt. Ueberpruefen Sie Sicherheitsprotokolle auf verdaechtige Aktivitaeten im Zusammenhang mit mhtml:- oder ms-msdt:-Protokollhandlern.
Technische Details
CVE-2024-38112 betrifft die MSHTML-Plattform, die trotz der Einstellung des Internet Explorers weiterhin als integraler Bestandteil von Windows fungiert. Der CVSS-Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt die folgenden Eigenschaften. Angriffsvektor (Netzwerk): Der Angriff wird ueber das Netzwerk initiiert, typischerweise durch das Versenden praeparierter Dateien per E-Mail oder das Bereitstellen schaedlicher Inhalte auf Webseiten. Angriffskomplexitaet (Hoch): Spezifische Bedingungen muessen erfuellt sein, etwa das erfolgreiche Social Engineering des Opfers zum Oeffnen einer praeparierten Datei. Berechtigungen (Keine): Keine vorherige Authentifizierung erforderlich. Benutzerinteraktion (Erforderlich): Das Opfer muss aktiv eine schaedliche Datei oeffnen oder einen praeparierten Link aufrufen. Der Angriffsmechanismus nutzt die Tatsache aus, dass die MSHTML-Plattform weiterhin als Protokollhandler in Windows registriert ist. Angreifer koennen speziell praeparierte Internet-Shortcut-Dateien (.url) erstellen, die beim Oeffnen die MSHTML-Engine aufrufen und ueber den Spoofing-Mechanismus die tatsaechliche Natur des ausgefuehrten Inhalts verschleiern. Die betroffenen Systeme umfassen Windows 10 ab Version 1507, Windows 11 ab 21H2 sowie Windows Server 2008 bis einschliesslich Server 2022 23H2.
Häufig gestellte Fragen
Warum ist die MSHTML-Plattform noch verwundbar, obwohl der Internet Explorer eingestellt wurde?
Die MSHTML-Plattform (Trident-Engine) bleibt als Windows-Systemkomponente aktiv, auch nachdem der Internet Explorer als eigenstaendiger Browser eingestellt wurde. Sie wird weiterhin fuer die Darstellung bestimmter Inhalte, Protokollhandler und Kompatibilitaetsfunktionen genutzt. Daher erhaelt sie weiterhin Sicherheitsupdates.
Wie wird CVE-2024-38112 in der Praxis ausgenutzt?
Angreifer versenden typischerweise speziell praeparierte Internet-Shortcut-Dateien (.url) per E-Mail oder stellen sie zum Download bereit. Oeffnet das Opfer diese Datei, wird die MSHTML-Engine aktiviert und der Angreifer kann die Darstellung manipulieren, um schaedlichen Code auszufuehren oder Zugangsdaten abzugreifen.
Bin ich auch betroffen, wenn ich nur Microsoft Edge oder Chrome verwende?
Ja, die Schwachstelle betrifft die MSHTML-Plattform als Windows-Systemkomponente, nicht den Browser selbst. Unabhaengig davon, welchen Browser Sie verwenden, ist Ihr System verwundbar, solange das Sicherheitsupdate nicht installiert ist.
Welche Sofortmassnahme ist die wichtigste?
Die Installation des Juli-2024-Sicherheitsupdates von Microsoft hat hoechste Prioritaet. Als ergaenzende Sofortmassnahme sollten verdaechtige Dateitypen in E-Mail-Gateways blockiert und Benutzer ueber die Bedrohung informiert werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.