CVE-2024-38193
Microsoft Windows Ancillary Function Driver for WinSock Privilege Escalation Vulnerability
Beschreibung
CVE-2024-38193 ist eine hochkritische Elevation-of-Privilege-Schwachstelle im Windows Ancillary Function Driver (AFD) für WinSock von Microsoft. Die Sicherheitslücke ermöglicht es einem lokal authentifizierten Angreifer, durch Ausnutzung des AFD-Treibers SYSTEM-Rechte zu erlangen. Mit einem CVSS-Score von 7.8 (HIGH) betrifft die Schwachstelle alle Windows-Versionen von Windows Server 2008 bis Windows 11 24H2. Besonders alarmierend ist der EPSS-Score von 74,83 % (98,8. Perzentil), der auf eine extrem hohe Ausnutzungswahrscheinlichkeit hindeutet. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und ein öffentlicher Exploit ist verfügbar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20751 |
| microsoft | windows 10 1607 | < 10.0.14393.7259 |
| microsoft | windows 10 1809 | < 10.0.17763.6189 |
| microsoft | windows 10 21h2 | < 10.0.19044.4780 |
| microsoft | windows 10 22h2 | < 10.0.19045.4780 |
| microsoft | windows 11 21h2 | < 10.0.22000.3147 |
| microsoft | windows 11 22h2 | < 10.0.22621.4037 |
| microsoft | windows 11 23h2 | < 10.0.22631.4037 |
| microsoft | windows 11 24h2 | < 10.0.26100.1457 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | < 6.2.9200.25031; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7259 |
| microsoft | windows server 2019 | < 10.0.17763.6189 |
| microsoft | windows server 2022 | < 10.0.20348.2655 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1085 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38193(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/52284(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38193(US Government Resource)
Schwachstellentyp
Für CVE-2024-38193 wurde von Microsoft kein spezifischer CWE-Typ zugewiesen. Der Windows Ancillary Function Driver (AFD) für WinSock ist ein Kernel-Mode-Treiber, der die Netzwerk-Socket-Kommunikation auf unterster Ebene verwaltet. Die Schwachstelle ermöglicht eine Privilegieneskalation von einem normalen Benutzerkonto auf SYSTEM-Level. Basierend auf der Existenz eines öffentlichen Exploits und ähnlichen historischen AFD-Schwachstellen handelt es sich wahrscheinlich um eine fehlerhafte Behandlung von Speicherobjekten im Kernel-Modus, etwa eine Use-After-Free-Bedingung oder einen Buffer Overflow im AFD-Treiber. Solche Schwachstellen sind besonders gefährlich, da der AFD-Treiber als Kernel-Komponente mit höchsten Systemprivilegien operiert.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38193 sind als besonders schwerwiegend einzustufen, da alle drei Schutzziele mit hohem Impact betroffen sind. Vertraulichkeit: SYSTEM-Rechte gewähren uneingeschränkten Zugriff auf alle Dateien, Anmeldedaten, Zertifikate und geschützte Speicherbereiche des Systems. Integrität: Ein Angreifer kann mit SYSTEM-Privilegien beliebige Systemkomponenten manipulieren, Sicherheitsmechanismen deaktivieren, Rootkits installieren und persistente Backdoors einrichten. Verfügbarkeit: Die vollständige Kontrolle über das System erlaubt es dem Angreifer, Dienste zu beenden, Daten zu zerstören oder das System für Ransomware-Verschlüsselung zu missbrauchen. Der EPSS-Score von 74,83 % (98,8. Perzentil) ist außergewöhnlich hoch und bedeutet, dass diese Schwachstelle eine höhere Ausnutzungswahrscheinlichkeit aufweist als 98,8 % aller bekannten Schwachstellen. Die Verfügbarkeit eines öffentlichen Exploits auf Exploit-DB senkt die Einstiegshürde für Angreifer drastisch. Obwohl der Ransomware-Status als "Unbekannt" geführt wird, machen die Kombination aus niedrigen Einstiegsvoraussetzungen und SYSTEM-Level-Zugriff diese Schwachstelle zu einem idealen Baustein in Ransomware-Angriffsketten.
Exploit-Reifegrad
CVE-2024-38193 weist eine sehr hohe Exploit-Reife auf und stellt eine unmittelbare Bedrohung dar. Die Schwachstelle wurde am 13. August 2024 in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. September 2024. Dies bestätigt die aktive Ausnutzung in realen Angriffen. Ein öffentlicher Exploit ist auf Exploit-DB (ID 52284) frei verfügbar, was die Schwachstelle auch für weniger versierte Angreifer zugänglich macht. Der EPSS-Score von 74,83 % (98,8. Perzentil) ist einer der höchsten Werte unter den aktuellen Schwachstellen und zeigt, dass statistische Modelle eine extrem hohe Wahrscheinlichkeit der Ausnutzung berechnen. Die Kombination aus öffentlichem Exploit, bestätigter aktiver Ausnutzung und der weiten Verbreitung betroffener Windows-Systeme macht diese Schwachstelle zu einer der gefährlichsten Elevation-of-Privilege-Vulnerabilitäten des Jahres 2024. Bezüglich Ransomware-Nutzung wird der Status als "Unbekannt" geführt.
Behebung
-
Sofortige Installation der Microsoft-Sicherheitsupdates: Installieren Sie umgehend die im August 2024 veröffentlichten Patches über Windows Update oder den Microsoft Update Catalog. Aufgrund der extrem hohen Ausnutzungswahrscheinlichkeit hat diese Schwachstelle höchste Patch-Priorität.
-
Legacy-Systeme einbeziehen: Beachten Sie, dass auch Windows Server 2008 und Windows Server 2012 betroffen sind. Für diese älteren Systeme stehen unter Umständen Extended Security Updates (ESU) bereit. Prüfen Sie die Verfügbarkeit und installieren Sie alle relevanten Patches.
-
Überprüfung auf Kompromittierung: Angesichts des öffentlich verfügbaren Exploits und der bestätigten aktiven Ausnutzung sollten alle betroffenen Systeme auf Kompromittierungsindikatoren geprüft werden. Suchen Sie nach ungewöhnlichen Prozessen mit SYSTEM-Rechten, verdächtigen Netzwerkverbindungen auf Socket-Ebene und Anomalien im AFD-Treiberverhalten.
-
Netzwerkzugriff einschränken: Da der AFD-Treiber die WinSock-Netzwerkkommunikation verwaltet, überprüfen Sie die Netzwerkkonfiguration betroffener Systeme. Beschränken Sie unnötige Netzwerkdienste und implementieren Sie strikte Firewall-Regeln, um die potenzielle Angriffsfläche zu reduzieren.
-
Monitoring und Incident Response aktivieren: Verstärken Sie die Überwachung mit EDR-Lösungen, die speziell auf Kernel-Level-Exploits und Privilege-Escalation-Versuche konfiguriert sind. Bereiten Sie Incident-Response-Prozesse vor, da die aktive Ausnutzung in der Praxis bestätigt ist.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38193 lautet CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H mit einem Gesamtscore von 7.8 (HIGH). Angriffsvektor (AV:L): Lokaler Zugriff auf das Zielsystem ist erforderlich, beispielsweise über eine bestehende Benutzersitzung oder durch vorherige Kompromittierung. Angriffskomplexität (AC:L): Die Ausnutzung erfordert keine besonderen Voraussetzungen — der öffentlich verfügbare Exploit auf Exploit-DB bestätigt die praktische Einfachheit. Erforderliche Berechtigungen (PR:L): Ein normales Benutzerkonto genügt als Ausgangspunkt. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion ist nötig, der Angriff läuft vollautomatisch ab. Scope (S:U): Der Angriff bleibt in der betroffenen Sicherheitsdomäne, wobei SYSTEM-Rechte erlangt werden. Der Windows Ancillary Function Driver (afd.sys) ist ein Kernel-Mode-Treiber, der als Schnittstelle zwischen User-Mode-Netzwerkanwendungen (über WinSock/ws2_32.dll) und dem Kernel-Mode-Netzwerk-Stack (TDI/WSK) dient. Jede Netzwerk-Socket-Operation auf Windows-Systemen durchläuft diesen Treiber. Die Schwachstelle ermöglicht es, durch speziell präparierte Anfragen an den AFD-Treiber Speicherbereiche im Kernel-Kontext zu manipulieren. Die breite Betroffenheit von Windows Server 2008 bis Windows 11 24H2 zeigt, dass es sich um einen grundlegenden Fehler in der AFD-Architektur handelt, der über viele Betriebssystemgenerationen hinweg besteht.
Häufig gestellte Fragen
Was ist der Windows Ancillary Function Driver (AFD) für WinSock?
Der AFD-Treiber (afd.sys) ist eine zentrale Kernel-Komponente von Windows, die als Vermittler zwischen Netzwerkanwendungen und dem Kernel-Netzwerk-Stack fungiert. Jede Anwendung, die Netzwerk-Sockets verwendet — von Webbrowsern bis zu Datenbank-Clients — nutzt diesen Treiber. Eine Schwachstelle in dieser Komponente betrifft daher praktisch jedes Windows-System mit Netzwerkfunktionalität.
Warum ist der EPSS-Score bei CVE-2024-38193 so extrem hoch?
Der EPSS-Score von 74,83 % (98,8. Perzentil) resultiert aus mehreren Faktoren: der Verfügbarkeit eines öffentlichen Exploits, der bestätigten aktiven Ausnutzung, der geringen Angriffskomplexität und der enormen Verbreitung betroffener Systeme. Dieser Score bedeutet, dass die Schwachstelle mit sehr hoher Wahrscheinlichkeit in den kommenden 30 Tagen ausgenutzt wird.
Sind auch ältere Windows-Server-Versionen betroffen?
Ja, die Schwachstelle betrifft auch Windows Server 2008 und Windows Server 2012, was ungewöhnlich für neuere Schwachstellen ist. Dies deutet darauf hin, dass der zugrundeliegende Fehler im AFD-Treiber seit vielen Jahren besteht. Organisationen mit Legacy-Systemen sollten Extended Security Updates prüfen.
Gibt es einen öffentlich verfügbaren Exploit für CVE-2024-38193?
Ja, auf Exploit-DB ist unter der ID 52284 ein funktionsfähiger Exploit veröffentlicht. Dies senkt die Einstiegshürde für Angreifer erheblich und erhöht die Dringlichkeit der Patch-Installation. Organisationen sollten nicht nur patchen, sondern auch prüfen, ob ihre Systeme bereits vor der Patch-Verfügbarkeit kompromittiert wurden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.