CVE-2024-38213
Microsoft Windows SmartScreen Security Feature Bypass Vulnerability
Beschreibung
CVE-2024-38213 ist eine Sicherheitslücke im Mark-of-the-Web (MotW) Mechanismus von Microsoft Windows, die einen Bypass der Sicherheitsüberprüfung ermöglicht. Mit einem CVSS-Score von 6.5 (MEDIUM) erlaubt die Schwachstelle einem Angreifer, die SmartScreen-Schutzmechanismen zu umgehen, indem das Mark-of-the-Web-Attribut auf heruntergeladenen Dateien nicht korrekt angewendet wird. Die CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen, was aktive Ausnutzung in realen Angriffen bestätigt. Der EPSS-Score von 59,32 % (98,2. Perzentil) unterstreicht die extrem hohe Wahrscheinlichkeit einer Exploitation.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20680 |
| microsoft | windows 10 1607 | < 10.0.14393.7070 |
| microsoft | windows 10 1809 | < 10.0.17763.5936 |
| microsoft | windows 10 21h2 | < 10.0.19044.4529 |
| microsoft | windows 10 22h2 | < 10.0.19045.4529 |
| microsoft | windows 11 21h2 | < 10.0.22000.3019 |
| microsoft | windows 11 22h2 | < 10.0.22621.3737 |
| microsoft | windows 11 23h2 | < 10.0.22631.3737 |
| microsoft | windows server 2012 | < 6.2.9200.24919; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7070 |
| microsoft | windows server 2019 | < 10.0.17763.5936 |
| microsoft | windows server 2022 | < 10.0.20348.2522 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.950 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38213(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38213(US Government Resource)
Schwachstellentyp
Für CVE-2024-38213 wurde kein spezifischer CWE-Typ durch Microsoft zugewiesen. Die Schwachstelle betrifft den Mark-of-the-Web (MotW) Sicherheitsmechanismus von Windows, der eine fundamentale Schutzschicht gegen aus dem Internet heruntergeladene, potenziell gefährliche Dateien darstellt. MotW versieht Dateien aus nicht vertrauenswürdigen Quellen mit einem speziellen NTFS Alternate Data Stream (Zone.Identifier), woraufhin Windows SmartScreen und andere Sicherheitskomponenten Warnungen anzeigen oder die Ausführung blockieren. Die Schwachstelle umgeht diesen Mechanismus, sodass heruntergeladene Dateien ohne die üblichen Sicherheitswarnungen ausgeführt werden können. Dies klassifiziert sich als Security Feature Bypass, bei dem ein zentraler Schutzmechanismus des Betriebssystems unwirksam gemacht wird.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38213 sind trotz des mittleren CVSS-Scores von 6.5 in der Praxis gravierend, da die Schwachstelle einen zentralen Sicherheitsmechanismus aushebelt. Integrität: Der alleinige Impact liegt auf der Integrität (I:H) — die MotW-Umgehung erlaubt es Angreifern, bösartige Dateien ohne Sicherheitswarnungen auf Zielsystemen auszuführen. Dies betrifft die Integrität des gesamten Sicherheitsmodells von Windows. Vertraulichkeit und Verfügbarkeit: Direkt werden diese Schutzziele nicht beeinträchtigt (C:N, A:N), jedoch ermöglicht der MotW-Bypass typischerweise die Ausführung von Malware, die dann sekundär alle Schutzziele kompromittieren kann. Praktische Relevanz: Der netzwerkbasierte Angriffsvektor (AV:N) ermöglicht Remote-Angriffe, etwa über Phishing-E-Mails mit manipulierten Dateianhängen oder Drive-by-Downloads. Der EPSS-Score von 59,32 % (98,2. Perzentil) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit. MotW-Bypass-Schwachstellen sind bei Ransomware-Gruppen besonders beliebt, da sie die erste Verteidigungslinie gegen heruntergeladene Malware eliminieren, auch wenn der Ransomware-Status für diese spezifische CVE als "Unbekannt" geführt wird.
Exploit-Reifegrad
CVE-2024-38213 weist eine sehr hohe Exploit-Reife auf und wird aktiv in Angriffen eingesetzt. Die CISA hat die Schwachstelle in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. September 2024. Der EPSS-Score von 59,32 % (98,2. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit — nur 1,8 % aller bekannten Schwachstellen weisen einen höheren Score auf. MotW-Bypass-Schwachstellen sind ein bevorzugtes Werkzeug in Phishing-Kampagnen und Malware-Distributionsketten. Historisch wurden ähnliche MotW-Bypasses (CVE-2022-44698, CVE-2023-36025) von Ransomware-Gruppen und APT-Akteuren extensiv genutzt. Die Ransomware-Nutzung für diese spezifische CVE wird als "Unbekannt" geführt, doch das Muster früherer MotW-Schwachstellen legt eine Nutzung in Ransomware-Kampagnen nahe.
Behebung
-
Sofortige Installation der Microsoft-Sicherheitsupdates: Installieren Sie die entsprechenden Patches über Windows Update oder den Microsoft Update Catalog. Beachten Sie, dass die Patches für diese Schwachstelle teils frühere Versionen erfordern als für andere August-2024-CVEs, da der Fix bereits im Juni 2024 bereitgestellt wurde.
-
E-Mail-Sicherheit verstärken: Da MotW-Bypasses primär über Phishing-Anhänge und manipulierte Links ausgenutzt werden, erhöhen Sie die E-Mail-Sicherheitsmaßnahmen. Aktivieren Sie strenge Attachment-Filterung, blockieren Sie potenziell gefährliche Dateitypen und implementieren Sie URL-Sandboxing für eingehende E-Mails.
-
Application Whitelisting implementieren: Ergänzen Sie den MotW-Schutz durch Application-Control-Richtlinien (z.B. Windows Defender Application Control oder AppLocker). Diese bieten eine zusätzliche Schutzschicht, die unabhängig vom MotW-Mechanismus arbeitet.
-
Benutzer sensibilisieren: Informieren Sie Endbenutzer darüber, dass die üblichen SmartScreen-Warnungen möglicherweise nicht angezeigt werden. Schulen Sie Mitarbeiter verstärkt bezüglich Phishing-Erkennung und dem sicheren Umgang mit Dateianhängen aus externen Quellen.
-
Netzwerk-basierte Erkennung aktivieren: Implementieren Sie Netzwerk-Monitoring für verdächtige Datei-Downloads und aktivieren Sie IDS/IPS-Regeln, die auf bekannte Exploit-Muster für MotW-Bypasses reagieren. Überwachen Sie insbesondere Datei-Downloads ohne korrektes Zone.Identifier-Attribut.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38213 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N mit einem Gesamtscore von 6.5 (MEDIUM). Angriffsvektor (AV:N): Die Schwachstelle kann über das Netzwerk ausgenutzt werden, typischerweise über bösartige Webseiten, Phishing-E-Mails oder manipulierte Dateien, die dem Opfer zum Download angeboten werden. Angriffskomplexität (AC:L): Keine besonderen Bedingungen sind erforderlich. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung ist notwendig — der Angreifer benötigt keinen Zugang zum Zielsystem. Benutzerinteraktion (UI:R): Das Opfer muss eine Aktion durchführen, etwa einen Link anklicken oder eine Datei herunterladen und öffnen. Impact: Ausschließlich die Integrität ist mit hohem Schweregrad betroffen (I:H), Vertraulichkeit und Verfügbarkeit sind nicht direkt betroffen. Das Mark-of-the-Web ist ein NTFS-Feature, das über den Alternate Data Stream "Zone.Identifier" funktioniert. Wenn eine Datei aus dem Internet heruntergeladen wird, setzt der Browser oder Download-Manager diesen Stream auf ZoneId=3 (Internet). Windows-Sicherheitskomponenten wie SmartScreen prüfen diesen Stream und zeigen Warnungen an oder blockieren die Ausführung. Die Schwachstelle ermöglicht es, Dateien so zu manipulieren oder auszuliefern, dass der Zone.Identifier-Stream nicht korrekt gesetzt wird, wodurch die heruntergeladene Datei als lokal erstellte, vertrauenswürdige Datei behandelt wird.
Häufig gestellte Fragen
Was ist das Mark-of-the-Web (MotW) und warum ist es wichtig?
Das Mark-of-the-Web ist ein Windows-Sicherheitsmechanismus, der heruntergeladene Dateien mit einem Herkunftsmarker versieht. Dieser Marker veranlasst Windows SmartScreen und andere Schutzkomponenten, Warnungen anzuzeigen oder die Ausführung zu blockieren. Ein Bypass dieses Mechanismus entfernt eine fundamentale Schutzschicht gegen Malware aus dem Internet.
Wie wird CVE-2024-38213 typischerweise ausgenutzt?
Die Schwachstelle wird primär in Phishing-Kampagnen eingesetzt. Angreifer versenden manipulierte Dateien per E-Mail oder bieten sie auf kompromittierten Webseiten zum Download an. Durch den MotW-Bypass werden diese Dateien nach dem Download ohne die üblichen Sicherheitswarnungen geöffnet, was die Wahrscheinlichkeit einer erfolgreichen Malware-Infektion deutlich erhöht.
Warum ist der CVSS-Score nur 6.5, obwohl die Schwachstelle aktiv ausgenutzt wird?
Der moderate CVSS-Score ergibt sich daraus, dass die Schwachstelle allein nur die Integrität betrifft und Benutzerinteraktion erfordert. Der Score spiegelt nicht den tatsächlichen Gesamtschaden wider, da MotW-Bypasses typischerweise als erster Schritt in mehrstufigen Angriffen dienen, gefolgt von der Ausführung von Malware, die dann alle Schutzziele kompromittiert.
Gab es ähnliche MotW-Bypass-Schwachstellen in der Vergangenheit?
Ja, MotW-Bypasses sind ein wiederkehrendes Problem. Bekannte Beispiele sind CVE-2022-44698 und CVE-2023-36025, die beide von Ransomware-Gruppen und APT-Akteuren intensiv genutzt wurden. Microsoft hat den MotW-Mechanismus mehrfach gehärtet, doch die Komplexität des Windows-Dateisystems und der NTFS Alternate Data Streams bietet immer wieder neue Angriffsflächen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.