CVE-2024-43451
Microsoft Windows NTLMv2 Hash Disclosure Spoofing Vulnerability
Beschreibung
CVE-2024-43451 ist eine Spoofing-Schwachstelle in Microsoft Windows, die zur Offenlegung von NTLM-Hashes fuehrt. Die Schwachstelle ermoeglicht es einem entfernten Angreifer ohne Authentifizierung, durch manipulierte Dateien oder Links den NTLMv2-Hash eines Benutzers abzugreifen, sofern das Opfer eine minimale Interaktion wie das Anklicken oder Vorschauen einer Datei durchfuehrt. Mit einem CVSS v3.1-Score von 6.5 (MEDIUM) betrifft die Schwachstelle nahezu alle unterstuetzten Windows-Versionen einschliesslich Windows 10, Windows 11 und Windows Server 2008 bis 2025.
Die CISA hat CVE-2024-43451 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Dezember 2024. Der EPSS-Score von 89.93 % (99.6. Perzentil) belegt eine ausserordentlich hohe Ausnutzungswahrscheinlichkeit. Der erbeutete NTLMv2-Hash kann fuer Pass-the-Hash-Angriffe oder Offline-Brute-Force-Attacken verwendet werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20826 |
| microsoft | windows 10 1607 | < 10.0.14393.7515 |
| microsoft | windows 10 1809 | < 10.0.17763.6532 |
| microsoft | windows 10 21h2 | < 10.0.19044.5131 |
| microsoft | windows 10 22h2 | < 10.0.19045.5131 |
| microsoft | windows 11 22h2 | < 10.0.22621.4460 |
| microsoft | windows 11 23h2 | < 10.0.22631.4460 |
| microsoft | windows 11 24h2 | < 10.0.26100.2314 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7515 |
| microsoft | windows server 2019 | < 10.0.17763.6532 |
| microsoft | windows server 2022 | < 10.0.20348.2849 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1251 |
| microsoft | windows server 2025 | < 10.0.26100.2314 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-43451(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-43451(US Government Resource)
Schwachstellentyp
NTLM Hash Disclosure durch Spoofing
CVE-2024-43451 betrifft die unsichere Verarbeitung von NTLM-Authentifizierungsanfragen in Windows. Obwohl kein spezifischer CWE-Eintrag vom Hersteller zugewiesen wurde, laesst sich die Schwachstelle dem Bereich der unbeabsichtigten Informationsoffenlegung zuordnen. Windows verarbeitet bei bestimmten Dateiinteraktionen automatisch NTLM-Authentifizierungsanfragen an entfernte Server, ohne den Benutzer ausreichend zu warnen. Dadurch wird der NTLMv2-Hash des angemeldeten Benutzers an einen vom Angreifer kontrollierten Server uebermittelt.
Diese Art der Schwachstelle ist besonders gefaehrlich, da bereits minimale Benutzerinteraktion wie ein einfacher Klick auf eine Datei oder deren Vorschau im Windows Explorer genuegt, um den Hash-Abfluss auszuloesen.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-43451 sind trotz des mittleren CVSS-Scores von 6.5 erheblich, insbesondere in Unternehmensumgebungen mit Active-Directory-Infrastruktur. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N zeigt, dass der Angriff ueber das Netzwerk mit geringer Komplexitaet durchfuehrbar ist, wobei lediglich eine Benutzerinteraktion erforderlich ist. Vertraulichkeit (Hoch): Ein erfolgreicher Angriff legt den NTLMv2-Hash des angemeldeten Benutzers offen. Dieser Hash kann fuer Pass-the-Hash-Angriffe verwendet werden, um sich als das Opfer zu authentifizieren, oder er kann offline per Brute-Force geknackt werden, um das Klartextpasswort zu erhalten. In Active-Directory-Umgebungen kann ein einzelner kompromittierter Hash zur lateralen Bewegung und letztlich zur vollstaendigen Domainkompromittierung fuehren. Integritaet und Verfuegbarkeit (Keine): Der Angriff selbst veraendert keine Daten und beeintraechtigt die Systemverfuegbarkeit nicht direkt. Der EPSS-Score von 89.93 % unterstreicht jedoch, dass die Schwachstelle in der Praxis sehr haeufig ausgenutzt wird, was auf etablierte Angriffswerkzeuge und -methoden hindeutet.
Exploit-Reifegrad
CVE-2024-43451 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Dezember 2024. Der EPSS-Score von 89.93 % (99.6. Perzentil) platziert diese Schwachstelle unter den Top 0.4 % der am intensivsten ausgenutzten Schwachstellen. NTLM-Hash-Disclosure-Schwachstellen werden von Angreifern besonders geschaetzt, da sie einen zuverlaessigen Einstiegspunkt fuer weitergehende Angriffe bieten. Die Kombination aus geringer Angriffsbarriere und hohem Nutzen fuer Angreifer macht diese Schwachstelle besonders attraktiv. Der Ransomware-Status ist als Unknown klassifiziert, jedoch sind Pass-the-Hash-Angriffe ein gaengiger Bestandteil von Ransomware-Angriffen auf Unternehmensnetzwerke.
Behebung
-
Microsoft-Sicherheitsupdate installieren: Installieren Sie umgehend das entsprechende kumulative Update von Microsoft fuer Ihre Windows-Version. Die Patches sind ueber das Microsoft Security Response Center verfuegbar. Gemaess KEV-Katalog: Wenden Sie die Abhilfemassnahmen des Herstellers an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfuegbar sind.
-
NTLM-Authentifizierung einschraenken: Konfigurieren Sie Gruppenrichtlinien, um ausgehende NTLM-Authentifizierung zu beschraenken. Unter Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options koennen Sie die Richtlinie Network Security: Restrict NTLM auf Deny All setzen, sofern dies mit Ihren Anwendungen kompatibel ist.
-
SMB-Signing und EPA aktivieren: Aktivieren Sie SMB-Signing und Extended Protection for Authentication (EPA), um Relay-Angriffe mit erbeuteten NTLM-Hashes zu verhindern. Dies erschwert die Verwertung offengelegter Hashes erheblich.
-
Netzwerksegmentierung pruefen: Stellen Sie sicher, dass ausgehende SMB-Verbindungen (Port 445) und NTLM-Authentifizierungsanfragen zu externen Zielen durch Firewall-Regeln blockiert werden. Dies verhindert, dass NTLM-Hashes das Unternehmensnetzwerk verlassen.
-
Benutzer sensibilisieren: Schulen Sie Mitarbeiter darin, keine unbekannten Dateien zu oeffnen oder in der Vorschau anzuzeigen, insbesondere aus E-Mail-Anhaengen oder externen Quellen. Implementieren Sie E-Mail-Filter, die verdaechtige Dateitypen blockieren.
Technische Details
CVE-2024-43451 betrifft die NTLM-Authentifizierungsverarbeitung in Microsoft Windows. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) ohne Authentifizierung (PR:N), aber mit erforderlicher Benutzerinteraktion (UI:R) durchfuehrbar ist.
Die Schwachstelle wird ausgeloest, wenn ein Benutzer mit einer speziell praeparierten Datei interagiert, die eine NTLM-Authentifizierungsanfrage an einen vom Angreifer kontrollierten Server ausloest. Bereits ein einfacher Klick oder die Vorschau einer solchen Datei im Windows Explorer genuegt, um den NTLMv2-Hash des angemeldeten Benutzers an den Angreifer zu uebermitteln. Der Angriff nutzt die automatische NTLM-Verhandlung von Windows aus, bei der das Betriebssystem ohne explizite Zustimmung des Benutzers Authentifizierungsinformationen an entfernte Server sendet.
Betroffen sind Windows 10 (alle Versionen ab 1507), Windows 11 (22H2, 23H2 und 24H2), sowie Windows Server 2008 bis einschliesslich Windows Server 2025. Der Scope bleibt unveraendert (S:U), und nur die Vertraulichkeit ist mit High betroffen, waehrend Integritaet und Verfuegbarkeit nicht beeintraechtigt werden.
Häufig gestellte Fragen
Wird CVE-2024-43451 aktiv ausgenutzt?
Ja, CVE-2024-43451 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 89.93 % (99.6. Perzentil) bestaetigt die ausserordentlich hohe Ausnutzungswahrscheinlichkeit. NTLM-Hash-Disclosure-Angriffe sind ein beliebter Einstiegspunkt fuer weitergehende Kompromittierungen.
Welche Windows-Versionen sind betroffen?
Betroffen sind nahezu alle unterstuetzten Windows-Versionen: Windows 10 (ab Version 1507), Windows 11 (22H2, 23H2 und 24H2) sowie Windows Server 2008, 2012, 2016, 2019, 2022 und 2025. Fuer jede Version wurden spezifische Patches veroeffentlicht.
Was kann ein Angreifer mit dem erbeuteten NTLM-Hash tun?
Mit einem erbeuteten NTLMv2-Hash kann ein Angreifer Pass-the-Hash-Angriffe durchfuehren, um sich als das Opfer bei Netzwerkressourcen zu authentifizieren. Alternativ kann der Hash offline per Brute-Force oder Woerterbuch-Angriff geknackt werden. In Active-Directory-Umgebungen ermoeglicht ein kompromittierter Hash haeufig die laterale Bewegung bis hin zur vollstaendigen Domaenenkompromittierung.
Wie kann ich mich schuetzen, wenn das Patchen nicht sofort moeglich ist?
Als Sofortmassnahmen sollten ausgehende SMB-Verbindungen (Port 445) zu externen Zielen per Firewall blockiert werden. Zusaetzlich kann die NTLM-Authentifizierung ueber Gruppenrichtlinien eingeschraenkt und SMB-Signing sowie Extended Protection for Authentication aktiviert werden. Diese Massnahmen reduzieren das Risiko erheblich, ersetzen jedoch nicht das Einspielen des Sicherheitsupdates.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.