CVE-2024-49039
Microsoft Windows Task Scheduler Privilege Escalation Vulnerability
Beschreibung
CVE-2024-49039 ist eine kritische Privilege-Escalation-Schwachstelle im Windows Task Scheduler, die es einem lokal authentifizierten Angreifer ermoeglicht, seine Berechtigungen zu erhoehen und Code mit erhoehten Rechten auszufuehren. Mit einem CVSS v3.1-Score von 8.8 (HIGH) betrifft die Schwachstelle Windows 10 (ab Version 1507), Windows 11 sowie Windows Server 2016 bis 2025. Besonders alarmierend ist die Tatsache, dass der Angriff den Scope aendert (S:C), was bedeutet, dass ein Angreifer ueber die Grenzen des urspruenglichen Sicherheitskontexts hinaus Zugriff erlangen kann.
Die CISA hat CVE-2024-49039 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Dezember 2024. Der EPSS-Score von 66.38 % (98.5. Perzentil) belegt eine hohe Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Known klassifiziert, was bedeutet, dass diese Schwachstelle aktiv in Ransomware-Kampagnen eingesetzt wird.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20826 |
| microsoft | windows 10 1607 | < 10.0.14393.7515 |
| microsoft | windows 10 1809 | < 10.0.17763.6532 |
| microsoft | windows 10 21h2 | < 10.0.19044.5131 |
| microsoft | windows 10 22h2 | < 10.0.19045.5131 |
| microsoft | windows 11 22h2 | < 10.0.22621.4460 |
| microsoft | windows 11 23h2 | < 10.0.22631.4460 |
| microsoft | windows 11 24h2 | < 10.0.26100.2314 |
| microsoft | windows server 2016 | < 10.0.14393.7515 |
| microsoft | windows server 2019 | < 10.0.17763.6532 |
| microsoft | windows server 2022 | < 10.0.20348.2849 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1251 |
| microsoft | windows server 2025 | < 10.0.26100.2314 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49039(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-49039(US Government Resource)
Schwachstellentyp
Privilege Escalation im Windows Task Scheduler
CVE-2024-49039 betrifft die fehlerhafte Berechtigungspruefung im Windows-Aufgabenplanungsdienst. Obwohl kein spezifischer CWE-Eintrag vom Hersteller zugewiesen wurde, laesst sich die Schwachstelle dem Bereich der unsachgemaessen Privilegienverwaltung zuordnen, aehnlich CWE-269 (Unsachgemaesse Privilegienverwaltung). Der Task Scheduler fuehrt unter bestimmten Bedingungen Operationen mit erhoehten Berechtigungen durch, ohne die Berechtigungsstufe des aufrufenden Prozesses korrekt zu validieren.
Mehr erfahren: CWE-269 -- Unsachgemaesse Privilegienverwaltung
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-49039 sind aufgrund des Scope-Wechsels und der Nutzung in Ransomware-Kampagnen besonders schwerwiegend. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H zeigt, dass der Angriff lokal mit geringer Komplexitaet und niedrigen Berechtigungen durchfuehrbar ist, wobei keine Benutzerinteraktion erforderlich ist. Vertraulichkeit (Hoch): Ein erfolgreicher Angriff ermoeglicht den vollstaendigen Zugriff auf alle Systemdaten, einschliesslich geschuetzter Dateien, Anmeldeinformationen und verschluesselter Daten. Der Scope-Wechsel (S:C) bedeutet, dass der Angreifer ueber den urspruenglichen Sicherheitskontext hinaus auf Ressourcen zugreifen kann, die normalerweise unzugaenglich waeren. Integritaet (Hoch): Der Angreifer kann beliebige Systemdateien modifizieren, Backdoors installieren und Sicherheitsmechanismen deaktivieren. Verfuegbarkeit (Hoch): Mit erhoehten Berechtigungen kann der Angreifer Systemdienste stoppen, Daten verschluesseln oder das System vollstaendig lahmlegen. Der bekannte Ransomware-Einsatz macht diese Schwachstelle zu einer unmittelbaren Bedrohung fuer die Geschaeftskontinuitaet. Der EPSS-Score von 66.38 % bestaetigt die hohe Ausnutzungswahrscheinlichkeit in realen Angriffsszenarien.
Exploit-Reifegrad
CVE-2024-49039 weist eine sehr hohe Exploit-Reife auf und wird aktiv in Ransomware-Angriffen eingesetzt. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. Der Ransomware-Status Known bedeutet, dass die Schwachstelle nachweislich in Erpressungstrojaner-Kampagnen verwendet wird. Der EPSS-Score von 66.38 % (98.5. Perzentil) platziert diese Schwachstelle unter den Top 1.5 % der am intensivsten ausgenutzten Schwachstellen. Privilege-Escalation-Schwachstellen im Windows Task Scheduler sind fuer Angreifer besonders wertvoll, da sie einen zuverlaessigen Weg bieten, von einem eingeschraenkten Benutzerkonto auf Systemrechte zu eskalieren, was eine Standardkomponente moderner Ransomware-Killchains darstellt.
Behebung
-
Microsoft-Sicherheitsupdate sofort installieren: Installieren Sie umgehend das entsprechende kumulative Update fuer Ihre Windows-Version ueber das Microsoft Security Response Center. Aufgrund des bekannten Ransomware-Einsatzes hat die Behebung hoechste Prioritaet. Gemaess KEV-Katalog: Wenden Sie die Abhilfemassnahmen des Herstellers an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfuegbar sind.
-
Task-Scheduler-Berechtigungen ueberpruefen: Ueberpruefen Sie die Zugriffsrechte auf den Task Scheduler-Dienst und schraenken Sie die Erstellung neuer Aufgaben auf autorisierte Administratoren ein. Entfernen Sie unnoetige Berechtigungen fuer Standardbenutzer.
-
Endpoint Detection and Response (EDR) einsetzen: Stellen Sie sicher, dass EDR-Loesungen aktiv sind und auf verdaechtige Task-Scheduler-Aktivitaeten ueberwachen. Konfigurieren Sie Alarme fuer ungewoehnliche Privilege-Escalation-Versuche und neue geplante Aufgaben, die von nicht-administrativen Benutzern erstellt werden.
-
Netzwerksegmentierung verstaerken: Da die Schwachstelle in Ransomware-Kampagnen genutzt wird, ist eine strenge Netzwerksegmentierung entscheidend, um die laterale Bewegung nach einer Kompromittierung einzuschraenken. Implementieren Sie das Prinzip der minimalen Rechte fuer alle Netzwerkzonen.
-
Backup-Strategie ueberpruefen: Angesichts des bekannten Ransomware-Einsatzes sollten Sie Ihre Backup-Strategie ueberpruefen. Stellen Sie sicher, dass Offline-Backups existieren, die von einem Ransomware-Angriff nicht erreicht werden koennen.
Technische Details
CVE-2024-49039 betrifft den Windows-Aufgabenplanungsdienst (Task Scheduler). Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H zeigt, dass der Angriff lokal (AV:L) mit niedriger Komplexitaet (AC:L) und niedrigen Berechtigungen (PR:L) ohne Benutzerinteraktion (UI:N) durchfuehrbar ist. Besonders bemerkenswert ist der Scope-Wechsel (S:C), der auf eine Kompromittierung ueber den urspruenglichen Sicherheitskontext hinaus hindeutet.
Die Schwachstelle liegt in der Verarbeitung von geplanten Aufgaben durch den Task Scheduler-Dienst, der unter SYSTEM-Berechtigungen laeuft. Ein Angreifer mit lokalen Benutzerrechten kann speziell praeparierte Aufgaben erstellen oder manipulieren, die vom Scheduler mit erhoehten Berechtigungen ausgefuehrt werden. Da der Task Scheduler als vertrauenswuerdiger Systemdienst agiert, koennen die eskalerten Berechtigungen genutzt werden, um auf Ressourcen zuzugreifen, die ausserhalb des normalen Berechtigungsbereichs des Angreifers liegen.
Betroffen sind Windows 10 (ab Version 1507), Windows 11 (22H2, 23H2 und 24H2) sowie Windows Server 2016 bis einschliesslich Windows Server 2025. Der maximale Impact ist mit High in allen drei Kategorien (Vertraulichkeit, Integritaet, Verfuegbarkeit) bewertet, was zusammen mit dem Scope-Wechsel den hohen Gesamtscore von 8.8 ergibt.
Häufig gestellte Fragen
Wird CVE-2024-49039 in Ransomware-Angriffen genutzt?
Ja, der Ransomware-Status ist als Known klassifiziert, was bestaetigt, dass die Schwachstelle aktiv in Ransomware-Kampagnen eingesetzt wird. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt. Privilege-Escalation-Schwachstellen im Task Scheduler sind ein gaengiger Bestandteil von Ransomware-Killchains, da sie Angreifern den Sprung von eingeschraenkten Benutzerrechten auf Systemrechte ermoeglichen.
Welche Windows-Versionen sind betroffen?
Betroffen sind Windows 10 (alle Versionen ab 1507), Windows 11 (22H2, 23H2 und 24H2) sowie Windows Server 2016, 2019, 2022, 2022 23H2 und 2025. Aeltere Versionen wie Windows Server 2008 und 2012 sind nicht aufgefuehrt, was darauf hindeutet, dass die Schwachstelle in neueren Codeabschnitten des Task Schedulers liegt.
Wie schwerwiegend ist CVE-2024-49039?
Mit einem CVSS-Score von 8.8 (HIGH) und dem Scope-Wechsel (S:C) ist CVE-2024-49039 als sehr schwerwiegend einzustufen. Die Schwachstelle ermoeglicht eine vollstaendige Systemkompromittierung, da ein Angreifer von niedrigen Berechtigungen auf SYSTEM-Level eskalieren kann. Der bekannte Ransomware-Einsatz erhoet die Dringlichkeit zusaetzlich.
Benoetigt der Angreifer lokalen Zugriff?
Ja, der Angriffsvektor ist lokal (AV:L), was bedeutet, dass der Angreifer bereits Zugriff auf das System haben muss. Allerdings genuegen niedrige Berechtigungen (PR:L), also ein normales Benutzerkonto. In der Praxis wird diese Schwachstelle haeufig in Kombination mit einer initialen Remote-Schwachstelle oder nach Phishing-Angriffen eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.