CVE-2024-38226
Microsoft Publisher Protection Mechanism Failure Vulnerability
Beschreibung
CVE-2024-38226 ist eine Security Feature Bypass-Schwachstelle in Microsoft Publisher, die es einem lokalen Angreifer ermöglicht, Sicherheitsmechanismen wie Makro-Richtlinien zu umgehen. Betroffen sind Microsoft Office 2019, Office LTSC 2021 und Publisher 2016. Die Schwachstelle wird mit einem CVSS-Score von 7.3 (HIGH) bewertet und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Der EPSS-Score beträgt 0.01432 (80.4. Perzentil), was auf eine moderate, aber reale Ausnutzungswahrscheinlichkeit hindeutet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office 2019 | - |
| microsoft | office long term servicing channel | 2021 |
| microsoft | publisher | 2016 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38226(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38226(US Government Resource)
Schwachstellentyp
Für CVE-2024-38226 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle fällt in die Kategorie Security Feature Bypass und betrifft speziell die Sicherheitsmechanismen von Microsoft Publisher. Publisher implementiert Makro-Sicherheitsrichtlinien, die das Ausführen von nicht vertrauenswürdigem Code in Dokumenten verhindern sollen. Durch diese Schwachstelle kann ein Angreifer diese Sicherheitsrichtlinien umgehen, sodass eingebetteter Makro-Code ohne die üblichen Warnungen oder Blockierungen ausgeführt werden kann. Dies ist besonders gefährlich, da Makros in Office-Dokumenten ein seit langem bekannter und weit verbreiteter Angriffsvektor für Malware und Ransomware sind.
Auswirkungsanalyse
Die Ausnutzung von CVE-2024-38226 kann erhebliche geschäftliche Konsequenzen nach sich ziehen. Vertraulichkeit: Durch die Umgehung der Makro-Sicherheitsrichtlinien können schädliche Makros Daten aus dem System exfiltrieren, einschließlich Dokumenteninhalten, gespeicherter Anmeldeinformationen und Netzwerkinformationen. Integrität: Ausgeführte Makros können Dateien manipulieren, zusätzliche Malware nachladen und System-Einstellungen verändern. Verfügbarkeit: Die Ausführung von schädlichem Code kann zu Systeminstabilität und Denial-of-Service-Zuständen führen. Der EPSS-Score von 0.01432 (80.4. Perzentil) zeigt eine moderate Ausnutzungswahrscheinlichkeit. Die Aufnahme in den CISA KEV-Katalog bestätigt jedoch die aktive Ausnutzung in realen Angriffen. Der Ransomware-Status ist als "Unknown" eingestuft, allerdings sind Makro-basierte Angriffe über Office-Dokumente einer der häufigsten Initialvektoren für Ransomware-Kampagnen. Die Umgehung von Makro-Schutzmechanismen erhöht das Risiko einer erfolgreichen Ransomware-Infektion daher erheblich.
Exploit-Reifegrad
CVE-2024-38226 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. Oktober 2024. Der EPSS-Score von 0.01432 liegt im 80.4. Perzentil, was auf eine moderate Ausnutzungswahrscheinlichkeit hinweist. Obwohl keine öffentlichen Exploit-Code-Veröffentlichungen bekannt sind, bestätigt die KEV-Aufnahme die aktive Ausnutzung durch Bedrohungsakteure. Microsoft hat technische Details im Security Update Guide veröffentlicht. Die Schwachstelle ist besonders attraktiv für Angreifer, da sie einen etablierten Angriffsvektor (Office-Makros) wieder nutzbar macht, der durch Microsofts zunehmend restriktive Makro-Richtlinien eingeschränkt wurde. Der Ransomware-Status ist als "Unknown" klassifiziert, jedoch sind Makro-basierte Angriffe ein klassischer Einstiegspunkt für Ransomware-Gruppen.
Behebung
-
Microsoft-Sicherheitsupdate installieren: Installieren Sie umgehend das Sicherheitsupdate vom September 2024 für alle betroffenen Microsoft Office-Installationen. Verwenden Sie den Microsoft Update Guide zur Identifikation der korrekten Updates für Office 2019, Office LTSC 2021 und Publisher 2016.
-
Makro-Richtlinien verschärfen: Konfigurieren Sie über Gruppenrichtlinien (GPO) restriktive Makro-Einstellungen für Microsoft Publisher. Blockieren Sie die Ausführung von Makros in Dateien aus dem Internet und erlauben Sie nur digital signierte Makros aus vertrauenswürdigen Quellen.
-
Attack Surface Reduction (ASR) aktivieren: Aktivieren Sie Microsoft Defender ASR-Regeln, insbesondere die Regel zur Blockierung von Office-Anwendungen bei der Erstellung ausführbarer Inhalte und die Regel zur Blockierung von Win32-API-Aufrufen aus Office-Makros.
-
Benutzer sensibilisieren: Informieren Sie Mitarbeiter über die Gefahren von Publisher-Dateien aus externen Quellen. Warnen Sie vor dem Öffnen von Publisher-Dokumenten, die per E-Mail oder aus unbekannten Quellen stammen, insbesondere wenn diese zur Aktivierung von Makros auffordern.
-
Monitoring und Detection implementieren: Konfigurieren Sie SIEM-Regeln zur Erkennung verdächtiger Makro-Ausführungen in Publisher-Prozessen. Überwachen Sie insbesondere Kindprozesse von MSPUB.exe, die auf Makro-basierte Angriffe hindeuten könnten.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-38226 lautet CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H mit einem Score von 7.3 (HIGH). Angriffsvektor (AV:L): Die Ausnutzung erfordert lokalen Zugang, typischerweise durch das Öffnen eines manipulierten Publisher-Dokuments. Angriffskomplexität (AC:L): Keine besonderen Bedingungen erforderlich. Erforderliche Berechtigungen (PR:L): Geringe Berechtigungen notwendig, ein normales Benutzerkonto reicht aus. Benutzerinteraktion (UI:R): Das Opfer muss das manipulierte Dokument öffnen. Scope (S:U): Die Auswirkungen beschränken sich auf die betroffene Komponente. Auswirkungen (C:H/I:H/A:H): Vertraulichkeit, Integrität und Verfügbarkeit sind vollständig betroffen. Der Angriffsmechanismus basiert auf der Umgehung der Makro-Sicherheitsrichtlinien in Microsoft Publisher. Normalerweise blockiert Publisher die Ausführung von Makros in nicht vertrauenswürdigen Dokumenten gemäß der konfigurierten Sicherheitsrichtlinie. Durch die Schwachstelle kann ein Angreifer ein speziell präpariertes Publisher-Dokument erstellen, das die Makro-Blockierung umgeht und eingebetteten VBA-Code ohne Benutzerwarnungen ausführt. Dieser Code läuft dann im Kontext des angemeldeten Benutzers und kann beliebige Aktionen auf dem System durchführen.
Häufig gestellte Fragen
Was ist CVE-2024-38226?
CVE-2024-38226 ist eine Sicherheitslücke in Microsoft Publisher, die es ermöglicht, die Makro-Sicherheitsrichtlinien zu umgehen. Ein Angreifer kann ein manipuliertes Publisher-Dokument erstellen, das eingebetteten schädlichen Code ohne die üblichen Sicherheitswarnungen ausführt. Die Schwachstelle wird aktiv ausgenutzt.
Welche Microsoft-Produkte sind betroffen?
Betroffen sind Microsoft Office 2019, Microsoft Office Long Term Servicing Channel (LTSC) 2021 und Microsoft Publisher 2016. Alle diese Versionen enthalten den verwundbaren Publisher-Code und sollten umgehend aktualisiert werden.
Kann ich mich schützen, wenn ich Publisher nicht verwende?
Wenn Publisher nicht auf Ihren Systemen installiert ist, sind Sie von dieser spezifischen Schwachstelle nicht betroffen. Allerdings können Publisher-Dateien (.pub) auch auf Systemen geöffnet werden, auf denen Publisher als Teil einer Office-Suite installiert ist, ohne aktiv genutzt zu werden. Prüfen Sie daher, ob Publisher als Komponente Ihrer Office-Installation vorhanden ist.
Wie wird CVE-2024-38226 typischerweise ausgenutzt?
Der typische Angriffsvektor ist ein per E-Mail oder Download verbreitetes Publisher-Dokument mit eingebettetem Makro-Code. Das Opfer wird zum Öffnen der Datei verleitet, und die Schwachstelle sorgt dafür, dass der enthaltene Code ohne die üblichen Makro-Warnungen ausgeführt wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.