CVE-2024-38217
Microsoft Windows Mark of the Web (MOTW) Protection Mechanism Failure Vulnerability
Beschreibung
CVE-2024-38217 ist eine Sicherheitslücke in der Windows Mark of the Web (MotW)-Funktionalität, die einen Bypass von Sicherheitsmechanismen ermöglicht. Die Schwachstelle betrifft nahezu alle unterstützten Windows-Versionen, einschließlich Windows 10, Windows 11 und Windows Server 2008 bis 2022. Mit einem CVSS-Score von 5.4 (MEDIUM) und einem EPSS-Score von 0.12116 (93.7. Perzentil) wurde sie in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Die Schwachstelle wurde bereits vor dem offiziellen Patch aktiv ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20766 |
| microsoft | windows 10 1607 | < 10.0.14393.7336 |
| microsoft | windows 10 1809 | < 10.0.17763.6293 |
| microsoft | windows 10 21h2 | < 10.0.19044.4894 |
| microsoft | windows 10 22h2 | < 10.0.19045.4894 |
| microsoft | windows 11 21h2 | < 10.0.22000.3197 |
| microsoft | windows 11 22h2 | < 10.0.22621.4169 |
| microsoft | windows 11 23h2 | < 10.0.22631.4169 |
| microsoft | windows 11 24h2 | < 10.0.26100.1742 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7336 |
| microsoft | windows server 2019 | < 10.0.17763.6293 |
| microsoft | windows server 2022 | < 10.0.20348.2700 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1128 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38217(Patch, Vendor Advisory)
- https://www.elastic.co/security-labs/dismantling-smart-app-control(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38217(US Government Resource)
Schwachstellentyp
Für CVE-2024-38217 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle fällt in die Kategorie Security Feature Bypass und betrifft die Windows Mark of the Web (MotW)-Funktionalität. MotW ist ein Sicherheitsmechanismus, der Dateien markiert, die aus dem Internet heruntergeladen wurden. Diese Markierung löst Sicherheitswarnungen und eingeschränkte Ausführungsrechte aus, beispielsweise in Microsoft Office oder Windows SmartScreen. Durch den Bypass dieser Markierung können potenziell schädliche Dateien ohne die üblichen Sicherheitswarnungen ausgeführt werden, was Social-Engineering-Angriffe erheblich erleichtert.
Auswirkungsanalyse
Die geschäftlichen Auswirkungen von CVE-2024-38217 sind trotz des moderaten CVSS-Scores von 5.4 nicht zu unterschätzen. Integritätsbeeinträchtigung: Ein Angreifer kann den Mark of the Web-Schutz umgehen, sodass heruntergeladene Dateien ohne die üblichen Sicherheitswarnungen geöffnet werden. Dies erhöht die Erfolgswahrscheinlichkeit von Phishing- und Social-Engineering-Angriffen erheblich. Verfügbarkeitsbeeinträchtigung: Die Schwachstelle kann zu begrenzten Verfügbarkeitsproblemen führen. Der EPSS-Score von 0.12116 (93.7. Perzentil) zeigt eine signifikante Wahrscheinlichkeit aktiver Ausnutzung. Sicherheitsforscher von Elastic Security Labs haben die Schwachstelle im Kontext von Smart App Control detailliert analysiert und öffentliche Exploit-Details veröffentlicht. Die Aufnahme in den CISA KEV-Katalog bestätigt die aktive Ausnutzung. Der Ransomware-Status ist als "Unknown" klassifiziert, jedoch könnte der MotW-Bypass als initialer Angriffsvektor in Ransomware-Kampagnen dienen.
Exploit-Reifegrad
CVE-2024-38217 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. Oktober 2024. Der EPSS-Score von 0.12116 liegt im 93.7. Perzentil, was auf eine hohe Ausnutzungswahrscheinlichkeit hinweist. Elastic Security Labs hat eine detaillierte technische Analyse unter dem Titel "Dismantling Smart App Control" veröffentlicht, die als öffentlicher Exploit verfügbar ist und die Mechanismen zur Umgehung von Smart App Control und MotW beschreibt. Die Schwachstelle wurde bereits vor der Veröffentlichung des Patches ausgenutzt, was sie als Zero-Day-Schwachstelle qualifiziert. Der Ransomware-Bezug ist als "Unknown" eingestuft, aber die Umgehung von MotW-Schutzmechanismen ist ein bekanntes Werkzeug in der Toolbox von Ransomware-Betreibern.
Behebung
-
Microsoft-Sicherheitsupdate installieren: Installieren Sie umgehend das Sicherheitsupdate vom September 2024 über Windows Update oder den Microsoft Update Catalog. Stellen Sie sicher, dass alle betroffenen Windows-Versionen gepatcht werden.
-
Betroffene Systeme identifizieren: Überprüfen Sie Ihre IT-Infrastruktur auf alle Windows-Versionen von Windows 10 1507 bis Windows Server 2022 23H2. Nutzen Sie Ihre Patch-Management-Lösung, um ungepatchte Systeme systematisch zu erfassen.
-
Zusätzliche Schutzmechanismen aktivieren: Stellen Sie sicher, dass Windows Defender SmartScreen und Windows Defender Application Guard aktiviert sind. Konfigurieren Sie Application Control-Richtlinien, um die Ausführung nicht vertrauenswürdiger Dateien zusätzlich einzuschränken.
-
Benutzer sensibilisieren: Informieren Sie Ihre Mitarbeiter über die erhöhte Gefahr durch Dateien aus dem Internet, die möglicherweise ohne MotW-Warnung geöffnet werden. Verstärken Sie Schulungen zur Erkennung von Phishing und verdächtigen Dateianhängen.
-
Monitoring und Detection verbessern: Implementieren Sie Erkennungsregeln für verdächtige Dateiausführungen ohne MotW-Markierung. Überwachen Sie insbesondere Zone.Identifier-Attribute und Alternate Data Streams auf Anomalien.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38217 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L mit einem Score von 5.4 (MEDIUM). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, typischerweise durch Bereitstellung einer manipulierten Datei zum Download. Angriffskomplexität (AC:L): Keine besonderen Bedingungen für die Ausnutzung erforderlich. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung notwendig. Benutzerinteraktion (UI:R): Das Opfer muss die manipulierte Datei herunterladen und öffnen. Scope (S:U): Die Auswirkungen beschränken sich auf die betroffene Komponente. Auswirkungen: Keine Auswirkung auf die Vertraulichkeit (C:N), geringe Auswirkung auf Integrität (I:L) und Verfügbarkeit (A:L). Der technische Angriffsmechanismus basiert auf der Manipulation des Mark of the Web (MotW)-Attributs, das als Alternate Data Stream (Zone.Identifier) an heruntergeladene Dateien angehängt wird. Durch spezifische Techniken kann ein Angreifer Dateien so präparieren, dass das MotW-Attribut bei der Ausführung nicht korrekt ausgewertet wird, wodurch SmartScreen-Warnungen und andere MotW-abhängige Sicherheitsmechanismen umgangen werden.
Häufig gestellte Fragen
Was ist CVE-2024-38217?
CVE-2024-38217 ist eine Sicherheitslücke in Windows, die den Mark of the Web (MotW)-Schutzmechanismus umgeht. MotW markiert Dateien aus dem Internet und löst Sicherheitswarnungen aus. Durch die Schwachstelle können manipulierte Dateien diese Warnungen umgehen und ohne Einschränkungen ausgeführt werden.
Welche Windows-Versionen sind betroffen?
Nahezu alle unterstützten Windows-Versionen sind betroffen, darunter Windows 10 (ab Version 1507), Windows 11 (21H2, 22H2, 23H2, 24H2) sowie Windows Server 2008, 2012, 2016, 2019 und 2022. Die vollständige Liste der betroffenen Versionen und Patches finden Sie im Microsoft Security Response Center.
Warum ist ein CVSS-Score von 5.4 trotzdem gefährlich?
Obwohl der CVSS-Score moderat erscheint, ist die Schwachstelle in der Praxis besonders gefährlich, weil sie als Einstiegspunkt für komplexere Angriffsketten dient. Die Umgehung von MotW erleichtert Phishing- und Malware-Angriffe erheblich, da Benutzer keine Sicherheitswarnungen mehr erhalten.
Wurde CVE-2024-38217 bereits in Angriffen verwendet?
Ja, die Schwachstelle wurde als Zero-Day aktiv ausgenutzt, bevor Microsoft einen Patch bereitstellte. Sie ist im CISA KEV-Katalog als aktiv ausgenutzt gelistet. Elastic Security Labs hat detaillierte technische Analysen zur Ausnutzungsmethodik veröffentlicht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.