CVE-2024-38178
Microsoft Windows Scripting Engine Memory Corruption Vulnerability
Beschreibung
CVE-2024-38178 ist eine Memory-Corruption-Schwachstelle in der Scripting Engine von Microsoft Windows mit einem CVSS-Score von 7.5 (HIGH). Die Sicherheitslücke ermöglicht einem entfernten Angreifer die Ausführung von beliebigem Code auf dem Zielsystem, wenn ein Benutzer eine speziell präparierte Webseite besucht. Betroffen sind alle gängigen Windows-Versionen von Windows 10 1507 bis Windows 11 24H2 sowie Windows Server 2012 R2 bis 2022 23H2. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und der EPSS-Score von 26,85 % (96,2. Perzentil) belegt eine sehr hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20751 |
| microsoft | windows 10 1607 | < 10.0.14393.7259 |
| microsoft | windows 10 1809 | < 10.0.17763.6189 |
| microsoft | windows 10 21h2 | < 10.0.19044.4780 |
| microsoft | windows 10 22h2 | < 10.0.19045.4780 |
| microsoft | windows 11 21h2 | < 10.0.22000.3147 |
| microsoft | windows 11 22h2 | < 10.0.22621.4037 |
| microsoft | windows 11 23h2 | < 10.0.22631.4037 |
| microsoft | windows 11 24h2 | < 10.0.26100.1457 |
| microsoft | windows server 2012 | r2 |
| microsoft | windows server 2016 | < 10.0.14393.7259 |
| microsoft | windows server 2019 | < 10.0.17763.6189 |
| microsoft | windows server 2022 | < 10.0.20348.2655 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1085 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38178(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38178(US Government Resource)
Schwachstellentyp
Für CVE-2024-38178 wurde kein spezifischer CWE-Typ durch Microsoft zugewiesen. Die Schwachstellenbeschreibung identifiziert sie als Memory-Corruption-Vulnerability in der Windows Scripting Engine. Die Scripting Engine ist für die Verarbeitung und Ausführung von Skriptcode (JScript, VBScript) in Anwendungen wie dem Internet Explorer und der Windows Script Host-Umgebung zuständig. Eine Speicherkorruption in dieser Komponente tritt auf, wenn die Engine bei der Verarbeitung von Skriptobjekten Speicherbereiche falsch verwaltet — etwa durch fehlerhafte Pointer-Arithmetik, unzureichende Bounds-Checking oder Use-After-Free-Bedingungen. Ein Angreifer kann dies ausnutzen, indem er speziell konstruierten Skriptcode erstellt, der die Engine dazu bringt, auf freigegebene oder nicht zugewiesene Speicherbereiche zuzugreifen und dort Code im Kontext des aktuellen Benutzers auszuführen.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38178 sind als hoch einzustufen, da alle drei Schutzziele betroffen sind. Vertraulichkeit: Ein erfolgreicher Angriff ermöglicht das Auslesen vertraulicher Daten auf dem Zielsystem, einschließlich Anmeldeinformationen, Dokumente und andere sensible Informationen im Kontext des angemeldeten Benutzers. Integrität: Durch die Ausführung von beliebigem Code kann der Angreifer Dateien manipulieren, Malware installieren und Systemeinstellungen verändern. Verfügbarkeit: Die Codeausführung kann zur Destabilisierung des Systems, zum Absturz von Anwendungen oder zur vollständigen Systemübernahme führen. Die hohe Angriffskomplexität (AC:H) mildert die Gefahr etwas, da der Angreifer spezifische Bedingungen erfüllen muss, um die Speicherkorruption zuverlässig auszunutzen. Allerdings wird Benutzerinteraktion (UI:R) benötigt, was den netzwerkbasierten Angriffsvektor typischerweise über Phishing oder Watering-Hole-Angriffe kanalisiert. Der EPSS-Score von 26,85 % (96,2. Perzentil) ist bemerkenswert hoch, und die KEV-Aufnahme bestätigt aktive Ausnutzung. Der Ransomware-Status wird als "Unbekannt" geführt, doch Remote-Code-Execution-Schwachstellen in Browser-Komponenten sind historisch bevorzugte Einstiegspunkte für Ransomware-Infektionen.
Exploit-Reifegrad
CVE-2024-38178 wurde am 13. August 2024 in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. September 2024. Die aktive Ausnutzung in freier Wildbahn ist damit offiziell bestätigt. Der EPSS-Score von 26,85 % (96,2. Perzentil) positioniert die Schwachstelle unter den Top 4 % der am wahrscheinlichsten ausgenutzten Schwachstellen weltweit. Berichten zufolge wurde die Schwachstelle von APT-Gruppen in gezielten Angriffen eingesetzt, wobei Opfer über speziell präparierte Webseiten oder E-Mail-Links auf die Exploit-Seiten gelockt wurden. Die Ransomware-Nutzung wird als "Unbekannt" klassifiziert, jedoch sind Scripting-Engine-Schwachstellen aufgrund ihrer Fähigkeit zur Remote-Code-Execution besonders attraktiv für Initial-Access-Broker und Ransomware-Affiliates.
Behebung
-
Sofortige Installation der Microsoft-Sicherheitsupdates: Installieren Sie die im August 2024 veröffentlichten Patches über Windows Update oder den Microsoft Update Catalog. Die Patches aktualisieren die Scripting Engine auf allen betroffenen Windows-Versionen.
-
Internet Explorer und Legacy-Scripting deaktivieren: Da die Scripting Engine primär von Internet Explorer und Legacy-Anwendungen genutzt wird, deaktivieren Sie den Internet Explorer vollständig, sofern nicht betrieblich erforderlich. Konfigurieren Sie die Windows-Sicherheitsrichtlinien, um JScript und VBScript in der Internetzone zu blockieren.
-
Enhanced Security Configuration auf Servern aktivieren: Für Windows Server-Systeme stellen Sie sicher, dass die Internet Explorer Enhanced Security Configuration (IE ESC) aktiviert ist. Diese schränkt die Skriptausführung ein und bietet eine zusätzliche Schutzschicht.
-
Web-Content-Filtering implementieren: Setzen Sie Web-Proxy-Lösungen oder DNS-Filterung ein, um den Zugriff auf bekannte bösartige Webseiten zu blockieren. Konfigurieren Sie Browser-Richtlinien, die die Ausführung aktiver Inhalte auf nicht vertrauenswürdigen Seiten einschränken.
-
Benutzer-Awareness stärken: Sensibilisieren Sie Mitarbeiter für die Gefahren von Phishing-E-Mails und unbekannten Links, da die Ausnutzung Benutzerinteraktion (Besuch einer manipulierten Webseite) erfordert. Implementieren Sie Anti-Phishing-Schulungen als kontinuierliche Maßnahme.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38178 lautet CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H mit einem Gesamtscore von 7.5 (HIGH). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, typischerweise wenn ein Benutzer eine bösartige Webseite besucht, die speziell präparierten Skriptcode enthält. Angriffskomplexität (AC:H): Die Ausnutzung der Speicherkorruption erfordert eine hohe Komplexität, da der Angreifer den Heap-Zustand der Scripting Engine präzise kontrollieren muss, um die Codeausführung zuverlässig zu erreichen. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung ist notwendig. Benutzerinteraktion (UI:R): Das Opfer muss aktiv eine präparierte Webseite besuchen oder einen manipulierten Link anklicken. Scope (S:U): Der Angriff bleibt im Sicherheitskontext der betroffenen Anwendung. Die Windows Scripting Engine verarbeitet JavaScript (JScript) und VBScript in verschiedenen Windows-Anwendungen. Bei der Verarbeitung speziell konstruierter Skriptobjekte kann eine fehlerhafte Speicherverwaltung auftreten, bei der die Engine auf bereits freigegebene Heap-Objekte zugreift oder Puffer-Grenzen überschreitet. Ein Angreifer kann durch präzise Heap-Manipulation den Kontrollfluss umlenken und beliebigen Code im Kontext des aktuellen Prozesses ausführen. Die hohe Angriffskomplexität spiegelt die Notwendigkeit wider, Heap-Spraying und andere Techniken zur zuverlässigen Ausnutzung einzusetzen.
Häufig gestellte Fragen
Was ist die Windows Scripting Engine?
Die Windows Scripting Engine ist eine Systemkomponente, die für die Verarbeitung und Ausführung von Skriptsprachen wie JScript und VBScript verantwortlich ist. Sie wird primär vom Internet Explorer, dem Windows Script Host und anderen Legacy-Anwendungen genutzt. Obwohl Microsoft Edge die Scripting Engine nicht mehr verwendet, bleibt sie auf allen Windows-Systemen für Abwärtskompatibilität installiert.
Kann CVE-2024-38178 auch ohne Internet Explorer ausgenutzt werden?
Obwohl der primäre Angriffsvektor über den Internet Explorer oder Legacy-Browserkomponenten läuft, kann die Scripting Engine auch von anderen Anwendungen aufgerufen werden, die Skriptverarbeitung nutzen. Dazu gehören Office-Anwendungen, der Windows Script Host oder Drittanbieter-Software, die die Windows-Scripting-APIs einbindet.
Warum ist die Angriffskomplexität hoch?
Die Ausnutzung einer Memory-Corruption-Schwachstelle in der Scripting Engine erfordert fortgeschrittene Techniken wie Heap-Spraying und präzise Kontrolle des Speicherlayouts. Der Angreifer muss den Heap-Zustand manipulieren, um die Codeausführung zuverlässig zu erreichen, was die Angriffskomplexität erhöht und den CVSS-Score auf 7.5 statt 8.8 senkt.
Ist Microsoft Edge von dieser Schwachstelle betroffen?
Microsoft Edge (Chromium-basiert) verwendet eine eigene JavaScript-Engine (V8) und ist daher nicht direkt von dieser Schwachstelle betroffen. Die betroffene Scripting Engine wird jedoch weiterhin von Internet Explorer, dem IE-Modus in Edge und anderen Legacy-Komponenten genutzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.