CVE-2025-21333
Microsoft Windows Hyper-V NT Kernel Integration VSP Heap-based Buffer Overflow Vulnerability
Beschreibung
CVE-2025-21333 ist eine hochkritische Elevation-of-Privilege-Schwachstelle im Windows Hyper-V NT Kernel Integration VSP von Microsoft mit einem CVSS-Score von 7.8 (HIGH). Diese Schwachstelle sticht unter den drei verwandten Hyper-V-VSP-Vulnerabilities besonders hervor, da sie mit einem EPSS-Score von 77,98 % (99,0. Perzentil) eine außergewöhnlich hohe Ausnutzungswahrscheinlichkeit aufweist. Öffentlich verfügbarer Exploit-Code existiert bereits, und die Schwachstelle wurde in den CISA KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 21h2 | < 10.0.19044.5371 |
| microsoft | windows 10 22h2 | < 10.0.19045.5371 |
| microsoft | windows 11 22h2 | < 10.0.22621.4751 |
| microsoft | windows 11 23h2 | < 10.0.22631.4751 |
| microsoft | windows 11 24h2 | < 10.0.26100.2894 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1369 |
| microsoft | windows server 2025 | < 10.0.26100.2894 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/52436(Exploit, Third Party Advisory, VDB Entry)
- https://www.vicarius.io/vsociety/posts/cve-2025-21333-elevated-privilege-exposure-in-windows-hyper-v-by-microsoft-detection-script(Mitigation, Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-21333-elevated-privilege-exposure-in-windows-hyper-v-by-microsoft-mitigation-script(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-21333(US Government Resource)
Schwachstellentyp
Die spezifische CWE-Kategorie wurde vom Hersteller nicht offiziell zugewiesen. Die Schwachstelle betrifft den Hyper-V NT Kernel Integration Virtualization Service Provider (VSP), eine privilegierte Kernel-Komponente. Die Verfügbarkeit von öffentlichem Exploit-Code auf Exploit-DB deutet darauf hin, dass die zugrunde liegende Schwäche gut verstanden und reproduzierbar ist. Wahrscheinlich handelt es sich um eine unzureichende Eingabevalidierung oder fehlerhafte Zugriffskontrolle innerhalb der VSP-Kernel-Schnittstelle.
Auswirkungsanalyse
Die Auswirkungen dieser Schwachstelle sind erheblich: Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils mit "High" bewertet, was eine vollständige Systemkompromittierung ermöglicht. Der lokale Angriffsvektor erfordert zwar einen bestehenden Systemzugang, doch die niedrige Angriffskomplexität und minimalen Berechtigungsanforderungen machen die Ausnutzung besonders effizient. Für Unternehmen mit Hyper-V-Infrastruktur stellt CVE-2025-21333 das höchste Risiko unter den drei verwandten Schwachstellen dar. Der EPSS-Score von 77,98 % ist außergewöhnlich hoch und liegt im 99,0. Perzentil — das bedeutet, dass diese Schwachstelle zu den am wahrscheinlichsten ausgenutzten Sicherheitslücken weltweit gehört. Die CISA-KEV-Aufnahme mit Frist bis 04.02.2025 und der öffentlich verfügbare Exploit-Code auf Exploit-DB erhöhen die Bedrohungslage massiv. Der Ransomware-Status ist als "Unknown" klassifiziert.
Exploit-Reifegrad
Die Exploit-Reife für CVE-2025-21333 ist als sehr hoch einzustufen. Öffentlicher Exploit-Code ist auf Exploit-DB (ID 52436) verfügbar, was die Hürde für Angreifer erheblich senkt. Zusätzlich wurden auf Vicarius vSociety Erkennungs- und Mitigierungsskripte veröffentlicht. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer verbindlichen Behebungsfrist bis zum 04.02.2025. Der EPSS-Score von 77,98 % (99,0. Perzentil) signalisiert eine extreme Ausnutzungswahrscheinlichkeit — deutlich höher als bei den Schwesterschwachstellen CVE-2025-21334 (7,56 %) und CVE-2025-21335 (9,89 %). Obwohl der Ransomware-Status als "Unknown" geführt wird, macht die breite Verfügbarkeit von Exploit-Code eine Verwendung in automatisierten Angriffskampagnen sehr wahrscheinlich.
Behebung
-
Sofort patchen — Installieren Sie umgehend die Microsoft-Sicherheitsupdates über Windows Update, WSUS oder SCCM. Betroffene Versionen: Windows 10 21H2 (< 10.0.19044.5371), Windows 10 22H2 (< 10.0.19045.5371), Windows 11 22H2 (< 10.0.22621.4751), Windows 11 23H2 (< 10.0.22631.4751), Windows 11 24H2 (< 10.0.26100.2894), Windows Server 2022 23H2 (< 10.0.25398.1369) und Windows Server 2025 (< 10.0.26100.2894). Details beim MSRC.
-
Exploit-Erkennung aktivieren — Nutzen Sie die auf Vicarius vSociety verfügbaren Erkennungsskripte, um betroffene Systeme zu identifizieren und Ausnutzungsversuche zu erkennen.
-
Hyper-V-Hosts isolieren — Bis zum erfolgreichen Patching sollten Hyper-V-Hosts aus dem allgemeinen Netzwerk isoliert und der Zugriff streng kontrolliert werden. Die Existenz öffentlichen Exploit-Codes macht schnelles Handeln zwingend erforderlich.
-
Mitigierungsskripte einsetzen — Falls ein sofortiges Patching nicht möglich ist, wenden Sie die Mitigierungsskripte als temporäre Schutzmaßnahme an.
-
Überwachung intensivieren — Implementieren Sie erweiterte Protokollierung und Erkennung für Privilegieneskalationen auf allen Windows-Systemen, insbesondere auf Hyper-V-Hosts. Achten Sie auf ungewöhnliche Kernel-Mode-Zugriffe und Prozesserstellungen mit erhöhten Rechten.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen lokalen Angriff mit niedriger Komplexität. Angriffsvektor (AV:L) erfordert lokalen Systemzugang, was die Schwachstelle typischerweise als zweite Stufe einer Angriffskette positioniert — nach einer initialen Kompromittierung erfolgt die Rechteeskalation. Angriffskomplexität (AC:L) und niedrige Berechtigungsanforderungen (PR:L) bedeuten, dass ein Standard-Benutzerkonto und keine speziellen Rahmenbedingungen ausreichen. Der Angriffsvektor zielt auf den NT Kernel Integration VSP, der als Brücke zwischen dem Hyper-V-Hypervisor und dem Windows NT-Kernel fungiert. Dieses Modul verarbeitet privilegierte Kommunikation zwischen Gast- und Host-Systemen. Der auf Exploit-DB veröffentlichte Exploit-Code (ID 52436) demonstriert, wie durch gezielte Manipulation der VSP-Schnittstelle eine Rechteeskalation von einem niedrig privilegierten Benutzer auf SYSTEM-Ebene erreicht werden kann. Die breite Verfügbarkeit des Exploits in Kombination mit dem hohen EPSS-Score macht CVE-2025-21333 zu einer der gefährlichsten Windows-Schwachstellen im Januar 2025.
Häufig gestellte Fragen
Warum ist CVE-2025-21333 gefährlicher als CVE-2025-21334 und CVE-2025-21335?
Obwohl alle drei Schwachstellen identische CVSS-Scores von 7.8 haben, weist CVE-2025-21333 einen dramatisch höheren EPSS-Score von 77,98 % auf (im Vergleich zu 7,56 % und 9,89 %). Zudem existiert öffentlich verfügbarer Exploit-Code auf Exploit-DB, was die Ausnutzung für Angreifer erheblich vereinfacht.
Gibt es öffentlichen Exploit-Code für diese Schwachstelle?
Ja, auf Exploit-DB ist unter der ID 52436 ein funktionsfähiger Exploit veröffentlicht. Zusätzlich bietet Vicarius vSociety sowohl Erkennungs- als auch Mitigierungsskripte an. Die Verfügbarkeit von Exploit-Code erhöht die Dringlichkeit der Behebung erheblich.
Muss ich alle drei Hyper-V-VSP-Schwachstellen gleichzeitig patchen?
Ja, es wird dringend empfohlen, alle drei Schwachstellen (CVE-2025-21333, CVE-2025-21334, CVE-2025-21335) gleichzeitig zu beheben, da sie den gleichen Komponentenbereich betreffen und die Patches im selben Microsoft-Sicherheitsupdate enthalten sind.
Kann ein Angreifer über diese Schwachstelle aus einer VM ausbrechen?
Der CVSS-Scope-Wert "Unchanged" (S:U) deutet darauf hin, dass die Auswirkung auf die betroffene Komponente beschränkt bleibt. Dennoch ist die Schwachstelle im Kernel-Level-VSP angesiedelt, der die Kommunikation zwischen Gast und Host verwaltet. Eine defensive Planung sollte auch Szenarien mit potenzieller Host-Kompromittierung berücksichtigen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.