CVE-2025-21334
Microsoft Windows Hyper-V NT Kernel Integration VSP Use-After-Free Vulnerability
Beschreibung
CVE-2025-21334 ist eine hochkritische Elevation-of-Privilege-Schwachstelle im Windows Hyper-V NT Kernel Integration VSP von Microsoft mit einem CVSS-Score von 7.8 (HIGH). Die Sicherheitslücke ermöglicht es einem lokal authentifizierten Angreifer mit niedrigen Berechtigungen, seine Rechte auf dem System zu erweitern. Der EPSS-Score von 7,56 % (91,7. Perzentil) weist auf eine hohe Ausnutzungswahrscheinlichkeit hin. Die Schwachstelle wurde in den CISA KEV-Katalog aufgenommen und wird aktiv in freier Wildbahn ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 21h2 | < 10.0.19044.5371 |
| microsoft | windows 10 22h2 | < 10.0.19045.5371 |
| microsoft | windows 11 22h2 | < 10.0.22621.4751 |
| microsoft | windows 11 23h2 | < 10.0.22631.4751 |
| microsoft | windows 11 24h2 | < 10.0.26100.2894 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1369 |
| microsoft | windows server 2025 | < 10.0.26100.2894 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21334(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-21334(US Government Resource)
Schwachstellentyp
Die spezifische CWE-Kategorie wurde vom Hersteller nicht offiziell zugewiesen. Die Schwachstelle liegt im Hyper-V NT Kernel Integration Virtualization Service Provider (VSP), einer Kernel-Ebene-Komponente, die die Kommunikationsschnittstelle zwischen dem Virtualisierungs-Stack und dem Windows-Kernel bildet. Basierend auf dem Kontext der Rechteausweitung handelt es sich wahrscheinlich um eine unzureichende Zugriffskontrolle oder eine fehlerhafte Validierung von Eingaben innerhalb des privilegierten VSP-Moduls.
Auswirkungsanalyse
Der lokale Angriffsvektor (AV:L) erfordert, dass ein Angreifer bereits Zugang zum Zielsystem besitzt. Die niedrige Angriffskomplexität und das Fehlen einer erforderlichen Benutzerinteraktion machen die Ausnutzung jedoch effizient. Vertraulichkeit, Integrität und Verfügbarkeit sind alle mit "High" bewertet, was eine vollständige Kompromittierung des betroffenen Systems bedeutet. In Unternehmensumgebungen mit Hyper-V-basierter Virtualisierung stellt dies ein erhebliches Risiko dar, da ein Angreifer von einem eingeschränkten Benutzerkonto auf Kernel-Ebene eskalieren könnte. Der EPSS-Score von 7,56 % positioniert die Schwachstelle im 91,7. Perzentil, deutlich über dem Durchschnitt. Die CISA-KEV-Aufnahme mit Behebungsfrist 04.02.2025 unterstreicht die Dringlichkeit. Der Ransomware-Status ist als "Unknown" klassifiziert, eine Verbindung zu Ransomware-Kampagnen kann jedoch nicht ausgeschlossen werden.
Exploit-Reifegrad
CISA hat diese Schwachstelle in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, mit einer verbindlichen Behebungsfrist bis zum 04.02.2025. Dies ist ein klarer Indikator für aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 7,56 % (91,7. Perzentil) bestätigt die überdurchschnittliche Ausnutzungswahrscheinlichkeit. Öffentlich verfügbarer Exploit-Code ist derzeit nicht bekannt, was auf gezielte Angriffe durch fortgeschrittene Bedrohungsakteure hindeutet. Der Ransomware-Status wird als "Unknown" geführt, eine Verbindung zu organisierten Cyberkampagnen ist jedoch angesichts der Hyper-V-Zielkomponente nicht auszuschließen.
Behebung
-
Microsoft-Sicherheitsupdate anwenden — Installieren Sie umgehend den bereitgestellten Patch über Windows Update oder WSUS. Betroffene Versionen: Windows 10 21H2 (< 10.0.19044.5371), Windows 10 22H2 (< 10.0.19045.5371), Windows 11 22H2 (< 10.0.22621.4751), Windows 11 23H2 (< 10.0.22631.4751), Windows 11 24H2 (< 10.0.26100.2894), Windows Server 2022 23H2 (< 10.0.25398.1369) und Windows Server 2025 (< 10.0.26100.2894). Details unter MSRC.
-
Hyper-V-Hosts priorisieren — Systeme mit aktiver Hyper-V-Rolle müssen mit höchster Priorität aktualisiert werden, da der betroffene VSP eine zentrale Kernel-Komponente der Virtualisierung darstellt.
-
Zugriffsrechte minimieren — Implementieren Sie das Prinzip der geringsten Privilegien auf allen Hyper-V-Hosts. Beschränken Sie lokale Anmeldungen auf autorisierte Administratoren und entfernen Sie unnötige Benutzerkonten.
-
Anomalie-Erkennung implementieren — Aktivieren Sie erweiterte Überwachung auf Hyper-V-Systemen, insbesondere für Privilegieneskalationen, ungewöhnliche Kernel-Mode-Zugriffe und verdächtige Prozesserstellungen.
-
Temporäre Mitigierung — Falls ein sofortiges Patching nicht möglich ist, isolieren Sie betroffene Hyper-V-Hosts vom Netzwerk und beschränken Sie den physischen und Remote-Zugriff auf das Minimum.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt ein Angriffsprofil mit lokalem Zugriff und niedriger Komplexität. Angriffsvektor (AV:L) bedeutet, dass der Angreifer lokalen Zugang zum System benötigt, etwa durch eine vorherige Kompromittierung oder einen Insider-Zugriff. Angriffskomplexität (AC:L) signalisiert, dass keine speziellen Bedingungen oder Race-Conditions erforderlich sind. Erforderliche Berechtigungen (PR:L) zeigen, dass ein normales Benutzerkonto ausreicht. Benutzerinteraktion (UI:N) bestätigt, dass kein Zutun eines anderen Benutzers nötig ist. Der Scope (S:U) beschränkt die Auswirkung auf die unmittelbar betroffene Komponente. Der technische Angriffsmechanismus nutzt eine Schwachstelle im NT Kernel Integration VSP, der als Vermittler zwischen dem Hyper-V-Hypervisor und dem Windows-Kernel agiert. Durch gezielte Manipulation der VSP-Kommunikationsschnittstelle kann ein Angreifer aus einem eingeschränkten Benutzerkontext auf SYSTEM-Berechtigungen eskalieren.
Häufig gestellte Fragen
Welche Systeme sind von CVE-2025-21334 betroffen?
Die Schwachstelle betrifft Windows 10 (21H2 und 22H2), Windows 11 (22H2, 23H2 und 24H2), Windows Server 2022 23H2 und Windows Server 2025. Alle Systeme, die den Hyper-V NT Kernel Integration VSP enthalten, sind potenziell gefährdet, auch wenn Hyper-V nicht aktiv konfiguriert ist.
Wie hängen CVE-2025-21334, CVE-2025-21335 und CVE-2025-21333 zusammen?
Alle drei Schwachstellen betreffen den gleichen Hyper-V NT Kernel Integration VSP und haben identische CVSS-Scores. Sie adressieren unterschiedliche Codepfade innerhalb desselben Moduls. Es wird empfohlen, alle drei Schwachstellen gleichzeitig zu beheben.
Kann die Schwachstelle remote ausgenutzt werden?
Nein, der Angriffsvektor ist lokal (AV:L). Ein Angreifer benötigt bereits Zugang zum System, etwa durch eine vorherige Kompromittierung über eine andere Schwachstelle, Phishing oder einen Insider-Zugriff. Die Schwachstelle dient typischerweise als zweite Stufe in einer Angriffskette.
Wie dringend ist die Behebung?
Sehr dringend. Die CISA hat eine Behebungsfrist bis zum 04.02.2025 gesetzt, und die aktive Ausnutzung in freier Wildbahn ist bestätigt. Organisationen sollten das Patching unverzüglich priorisieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.