CVE-2024-38189
Microsoft Project Remote Code Execution Vulnerability
Beschreibung
CVE-2024-38189 ist eine Remote-Code-Execution-Schwachstelle in Microsoft Project mit einem CVSS-Score von 8.8 (HIGH). Die Sicherheitslücke ermöglicht es einem Angreifer, beliebigen Code auf dem System des Opfers auszuführen, wenn dieses eine speziell präparierte Microsoft Project-Datei öffnet. Betroffen sind Microsoft Project 2016, Microsoft 365 Apps, Office 2019 und Office LTSC 2021. Die CISA hat die Schwachstelle in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, und der EPSS-Score von 43,66 % (97,4. Perzentil) belegt eine sehr hohe Ausnutzungswahrscheinlichkeit in freier Wildbahn.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | 365 apps | - |
| microsoft | office 2019 | - |
| microsoft | office long term servicing channel | 2021 |
| microsoft | project 2016 | < 16.0.5461.1001 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38189(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38189(US Government Resource)
Schwachstellentyp
Für CVE-2024-38189 wurde kein spezifischer CWE-Typ durch Microsoft zugewiesen. Die Schwachstelle in Microsoft Project ermöglicht Remote Code Execution, wobei der genaue technische Mechanismus nicht vollständig offengelegt wurde. Basierend auf historischen Schwachstellen in Microsoft Office-Produkten und der Art der Ausnutzung (Öffnen einer manipulierten Datei) handelt es sich wahrscheinlich um eine fehlerhafte Verarbeitung von Projektdatei-Elementen, die zu einer Speicherkorruption oder der Ausführung eingebetteter Makros bzw. Scripts führt. Solche Schwachstellen nutzen typischerweise die komplexe Dateiformat-Parsing-Logik von Office-Anwendungen aus, bei der speziell konstruierte Datenstrukturen Puffer-Überläufe, Type-Confusion oder die Umgehung von Sicherheitsmechanismen auslösen können.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38189 sind mit einem CVSS-Score von 8.8 als hoch einzustufen und betreffen alle drei Schutzziele vollumfänglich. Vertraulichkeit: Ein erfolgreicher Angriff gewährt Zugriff auf alle Daten, die dem betroffenen Benutzer zugänglich sind, einschließlich Projektpläne, vertrauliche Geschäftsdaten und Anmeldeinformationen. Integrität: Durch die Codeausführung kann der Angreifer Dateien manipulieren, Malware installieren, Projektdaten verfälschen und das System dauerhaft kompromittieren. Verfügbarkeit: Der Angreifer kann das System destabilisieren, Daten verschlüsseln oder Dienste stören. Der netzwerkbasierte Angriffsvektor (AV:N) ohne erforderliche Berechtigungen (PR:N) bei niedriger Komplexität (AC:L) macht diese Schwachstelle besonders gefährlich für Spear-Phishing-Angriffe auf Projektmanager und Entscheidungsträger. Der EPSS-Score von 43,66 % (97,4. Perzentil) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Obwohl der Ransomware-Status als "Unbekannt" geführt wird, sind Office-basierte RCE-Schwachstellen traditionell ein primärer Einstiegsvektor für Ransomware-Kampagnen, insbesondere wenn sie gezielt an Führungskräfte und Projektleiter versandt werden.
Exploit-Reifegrad
CVE-2024-38189 weist eine sehr hohe Exploit-Reife auf. Die Schwachstelle wurde am 13. August 2024 in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. September 2024. Dies bestätigt die aktive Ausnutzung in realen Angriffen. Der EPSS-Score von 43,66 % (97,4. Perzentil) positioniert die Schwachstelle unter den Top 3 % der am wahrscheinlichsten ausgenutzten Schwachstellen. Die Ausnutzung erfolgt typischerweise über Social Engineering, wobei Angreifer manipulierte Microsoft Project-Dateien (.mpp) per E-Mail an Zielpersonen senden oder über kompromittierte Projektmanagement-Plattformen verteilen. Die niedrige Angriffskomplexität (AC:L) und die fehlende Notwendigkeit für Authentifizierung machen die Schwachstelle für ein breites Spektrum von Angreifern attraktiv. Der Ransomware-Status wird als "Unbekannt" geführt.
Behebung
-
Sofortige Installation der Microsoft-Sicherheitsupdates: Installieren Sie die im August 2024 veröffentlichten Patches über Windows Update, Microsoft Update oder den Microsoft Update Catalog. Aktualisieren Sie Microsoft Project 2016 auf Version 16.0.5461.1001 oder höher und stellen Sie sicher, dass Microsoft 365 Apps, Office 2019 und Office LTSC 2021 auf dem neuesten Stand sind.
-
Makro-Sicherheitsrichtlinien verschärfen: Konfigurieren Sie die Office-Sicherheitsrichtlinien so, dass Makros in Dokumenten aus nicht vertrauenswürdigen Quellen standardmäßig blockiert werden. Aktivieren Sie die Gruppenrichtlinie "VBA-Makros in Office-Dateien aus dem Internet blockieren" und stellen Sie sicher, dass die Trust Center-Einstellungen restriktiv konfiguriert sind.
-
Datei-Herkunft validieren: Implementieren Sie Richtlinien, die das Öffnen von Microsoft Project-Dateien (.mpp) aus externen Quellen einschränken. Nutzen Sie E-Mail-Gateway-Filterung, um .mpp-Anhänge aus nicht vertrauenswürdigen Quellen zu blockieren oder in eine Sandbox zu isolieren.
-
Protected View aktivieren: Stellen Sie sicher, dass die Protected View (Geschützte Ansicht) in allen Office-Anwendungen aktiviert ist. Diese Funktion öffnet Dateien aus dem Internet oder E-Mail-Anhänge zunächst in einem eingeschränkten Modus, der die Codeausführung verhindert.
-
Benutzer-Awareness für Spear-Phishing: Sensibilisieren Sie insbesondere Projektmanager und Führungskräfte, die regelmäßig mit Microsoft Project-Dateien arbeiten, für die Gefahren von Spear-Phishing. Schulen Sie das Erkennen verdächtiger E-Mails und das sichere Handling externer Projektdateien.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38189 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H mit einem Gesamtscore von 8.8 (HIGH). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar. Ein Angreifer muss dem Opfer eine manipulierte Microsoft Project-Datei zustellen, typischerweise per E-Mail oder über eine Dateifreigabe. Angriffskomplexität (AC:L): Die Ausnutzung erfordert keine besonderen Voraussetzungen oder Race Conditions. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung ist notwendig — jeder externe Angreifer kann den Exploit durchführen. Benutzerinteraktion (UI:R): Das Opfer muss die manipulierte Datei aktiv öffnen. Scope (S:U): Der Angriff bleibt im Sicherheitskontext der betroffenen Anwendung. Die Schwachstelle liegt in der Verarbeitungslogik von Microsoft Project beim Parsen von Projektdateien. Microsoft Project-Dateien (.mpp) enthalten komplexe Datenstrukturen für Aufgaben, Ressourcen, Zeitpläne und eingebettete Objekte. Bei der Verarbeitung speziell konstruierter Elemente innerhalb dieser Dateistrukturen kann es zu einer fehlerhaften Speicherverwaltung kommen, die einem Angreifer die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglicht. Die Betroffenheit von Microsoft 365 Apps, Office 2019 und Office LTSC 2021 zeigt, dass der Fehler in der gemeinsamen Code-Basis der Office-Suite liegt und nicht auf eine spezifische Project-Version beschränkt ist.
Häufig gestellte Fragen
Welche Microsoft Project-Versionen sind von CVE-2024-38189 betroffen?
Betroffen sind Microsoft Project 2016 (vor Version 16.0.5461.1001), Microsoft 365 Apps, Microsoft Office 2019 und Microsoft Office Long Term Servicing Channel 2021. Da der Fehler in der gemeinsamen Office-Code-Basis liegt, sind alle Varianten betroffen, die Microsoft Project enthalten.
Wie wird CVE-2024-38189 typischerweise ausgenutzt?
Die Ausnutzung erfolgt über speziell präparierte Microsoft Project-Dateien (.mpp), die dem Opfer typischerweise per E-Mail, über Dateifreigaben oder Projektmanagement-Plattformen zugestellt werden. Wenn das Opfer die Datei öffnet, wird der eingebettete Schadcode ausgeführt. Die niedrige Angriffskomplexität macht dies zu einem effektiven Angriffsvektor.
Kann ich mich durch Protected View vor CVE-2024-38189 schützen?
Die Protected View (Geschützte Ansicht) bietet eine wichtige Schutzschicht, da sie Dateien aus nicht vertrauenswürdigen Quellen in einem eingeschränkten Modus öffnet. Allerdings klicken viele Benutzer gewohnheitsmäßig auf "Bearbeitung aktivieren", was den Schutz aufhebt. Die sicherste Maßnahme bleibt die Installation des offiziellen Patches.
Warum ist der CVSS-Score mit 8.8 so hoch?
Der hohe Score resultiert aus der Kombination von netzwerkbasiertem Angriffsvektor, niedriger Angriffskomplexität, fehlender Authentifizierungsanforderung und hohem Impact auf alle drei Schutzziele. Nur die erforderliche Benutzerinteraktion verhindert einen kritischen Score von 9.8.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.