CVE-2025-21335
Microsoft Windows Hyper-V NT Kernel Integration VSP Use-After-Free Vulnerability
Beschreibung
CVE-2025-21335 ist eine hochkritische Elevation-of-Privilege-Schwachstelle im Windows Hyper-V NT Kernel Integration VSP von Microsoft. Die Sicherheitslücke erhält einen CVSS-Score von 7.8 (HIGH) und ermöglicht es einem lokal authentifizierten Angreifer, seine Rechte auf dem System zu erweitern. Mit einem EPSS-Score von 9,89 % (92,9. Perzentil) besteht eine erhebliche Wahrscheinlichkeit aktiver Ausnutzung. Die Schwachstelle wurde von CISA in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, was bestätigte Angriffe in freier Wildbahn belegt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 21h2 | < 10.0.19044.5371 |
| microsoft | windows 10 22h2 | < 10.0.19045.5371 |
| microsoft | windows 11 22h2 | < 10.0.22621.4751 |
| microsoft | windows 11 23h2 | < 10.0.22631.4751 |
| microsoft | windows 11 24h2 | < 10.0.26100.2894 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1369 |
| microsoft | windows server 2025 | < 10.0.26100.2894 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21335(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-21335(US Government Resource)
Schwachstellentyp
Die spezifische Schwachstellenkategorie (CWE) wurde vom Hersteller nicht offiziell veröffentlicht. Die Schwachstelle betrifft den Hyper-V NT Kernel Integration Virtualization Service Provider (VSP) und ermöglicht eine Rechteausweitung. Basierend auf dem Angriffskontext handelt es sich wahrscheinlich um eine fehlerhafte Zugriffskontrolle oder eine unzureichende Validierung innerhalb des Kernel-Level-VSP-Moduls, das die Kommunikation zwischen Gast- und Host-Systemen in Hyper-V verwaltet.
Auswirkungsanalyse
Die Schwachstelle betrifft den lokalen Angriffsvektor, was bedeutet, dass ein Angreifer bereits Zugang zum System benötigt. Die geringe Angriffskomplexität und die fehlende Notwendigkeit einer Benutzerinteraktion erhöhen jedoch das Risiko erheblich. Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils mit "High" bewertet, was bedeutet, dass ein erfolgreicher Angriff vollständige Kontrolle über das betroffene System ermöglicht. Für Unternehmen, die Hyper-V-basierte Virtualisierungsumgebungen betreiben, ist dies besonders kritisch: Ein Angreifer mit niedrigen Berechtigungen könnte auf Kernel-Ebene eskalieren und die gesamte Virtualisierungsinfrastruktur kompromittieren. Der EPSS-Score von 9,89 % liegt im 92,9. Perzentil, was eine deutlich überdurchschnittliche Ausnutzungswahrscheinlichkeit signalisiert. Die Aufnahme in den CISA KEV-Katalog mit Frist bis zum 04.02.2025 bestätigt aktive Ausnutzung. Ob die Schwachstelle in Ransomware-Kampagnen eingesetzt wird, ist derzeit nicht bestätigt.
Exploit-Reifegrad
Die Schwachstelle wurde von CISA am Januar 2025 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 04.02.2025. Dies bestätigt, dass aktive Angriffe in freier Wildbahn beobachtet wurden. Der EPSS-Score von 9,89 % (92,9. Perzentil) untermauert die hohe Wahrscheinlichkeit weiterer Ausnutzung. Ob die Schwachstelle mit Ransomware-Operationen in Verbindung steht, ist derzeit als "Unknown" klassifiziert. Öffentliche Exploit-Code-Veröffentlichungen sind zum aktuellen Zeitpunkt nicht bekannt, was darauf hindeutet, dass die Angriffe möglicherweise von fortgeschrittenen Bedrohungsakteuren (APTs) durchgeführt werden.
Behebung
-
Sicherheitsupdate installieren — Wenden Sie umgehend die von Microsoft bereitgestellten Patches an. Betroffene Versionen: Windows 10 21H2 (< 10.0.19044.5371), Windows 10 22H2 (< 10.0.19045.5371), Windows 11 22H2 (< 10.0.22621.4751), Windows 11 23H2 (< 10.0.22631.4751), Windows 11 24H2 (< 10.0.26100.2894), Windows Server 2022 23H2 (< 10.0.25398.1369) und Windows Server 2025 (< 10.0.26100.2894). Patches sind über das Microsoft Security Response Center verfügbar.
-
Hyper-V-Umgebungen priorisieren — Systeme mit aktiver Hyper-V-Rolle sollten mit höchster Priorität gepatcht werden, da die Schwachstelle den Virtualization Service Provider betrifft und potenziell Gast-zu-Host-Eskalationen ermöglicht.
-
Zugriffskontrolle verschärfen — Begrenzen Sie lokale Benutzerrechte auf Hyper-V-Hosts und implementieren Sie das Prinzip der geringsten Privilegien. Stellen Sie sicher, dass nur autorisierte Administratoren Zugang zu Hyper-V-Management-Funktionen haben.
-
Monitoring und Erkennung aktivieren — Überwachen Sie Hyper-V-Hosts auf ungewöhnliche Aktivitäten, insbesondere auf Prozesseskalationen und verdächtige Kernel-Mode-Zugriffe. Aktivieren Sie Windows Defender Credential Guard und virtualisierungsbasierte Sicherheitsfunktionen.
-
Notfallplan vorbereiten — Falls ein sofortiges Patching nicht möglich ist, erwägen Sie die temporäre Deaktivierung nicht benötigter Hyper-V-Dienste und isolieren Sie betroffene Systeme vom Netzwerk.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt die technischen Eigenschaften der Schwachstelle im Detail. Angriffsvektor (AV:L) — Der Angriff erfordert lokalen Zugang zum System, was bedeutet, dass der Angreifer bereits eine initiale Kompromittierung oder physischen Zugang erreicht haben muss. Angriffskomplexität (AC:L) — Die Ausnutzung ist technisch einfach und erfordert keine speziellen Rahmenbedingungen. Erforderliche Berechtigungen (PR:L) — Ein Benutzer mit niedrigen Systemrechten kann die Schwachstelle ausnutzen, was typisch für Elevation-of-Privilege-Angriffe ist. Benutzerinteraktion (UI:N) — Es ist keine Aktion eines anderen Benutzers erforderlich. Scope (S:U) — Die Auswirkung bleibt auf die betroffene Systemkomponente beschränkt. Der Angriffsmechanismus zielt auf den Hyper-V NT Kernel Integration VSP ab, eine Kernel-Ebene-Komponente, die als Schnittstelle zwischen dem Virtualisierungs-Stack und dem Windows-Kernel fungiert. Durch Manipulation dieser Schnittstelle kann ein Angreifer mit niedrigen Berechtigungen SYSTEM-Level-Zugriff erlangen.
Häufig gestellte Fragen
Was ist der Hyper-V NT Kernel Integration VSP?
Der Virtualization Service Provider (VSP) ist eine Kernel-Ebene-Komponente in Windows Hyper-V, die die Kommunikation zwischen virtuellen Maschinen (Gästen) und dem physischen Host verwaltet. Eine Schwachstelle in diesem Modul kann die gesamte Virtualisierungsinfrastruktur gefährden.
Bin ich betroffen, wenn ich Hyper-V nicht aktiv nutze?
Ja, die Schwachstelle betrifft alle aufgelisteten Windows-Versionen unabhängig davon, ob Hyper-V aktiv genutzt wird, da die betroffene Kernel-Komponente standardmäßig vorhanden sein kann. Microsoft empfiehlt das Update für alle betroffenen Systeme.
Wie unterscheidet sich CVE-2025-21335 von CVE-2025-21334 und CVE-2025-21333?
Alle drei Schwachstellen betreffen den gleichen Hyper-V NT Kernel Integration VSP und haben identische CVSS-Scores von 7.8. Sie unterscheiden sich jedoch in den spezifischen Code-Pfaden und Angriffsvektoren innerhalb des VSP-Moduls. CVE-2025-21333 weist mit einem EPSS-Score von 77,98 % die deutlich höchste Ausnutzungswahrscheinlichkeit auf.
Wird die Schwachstelle in Ransomware-Angriffen ausgenutzt?
Der Ransomware-Status ist derzeit als "Unknown" klassifiziert. Die Aufnahme in den CISA KEV-Katalog bestätigt jedoch aktive Ausnutzung in freier Wildbahn, weshalb eine sofortige Behebung dringend empfohlen wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.