CVE-2025-21391
Microsoft Windows Storage Link Following Vulnerability
Beschreibung
CVE-2025-21391 ist eine Elevation of Privilege-Schwachstelle im Windows Storage-Subsystem, die es einem lokalen Angreifer mit niedrigen Privilegien ermoeglicht, unautorisierte Aenderungen am Dateisystem vorzunehmen und Daten zu loeschen. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.1 (HIGH) bewertet und betrifft Windows 10, Windows 11 sowie Windows Server 2016 bis 2025.
Die CISA hat CVE-2025-21391 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung als Zero-Day. Der EPSS-Score von 2.18 % (84.1. Perzentil) weist auf eine erhoehte Ausnutzungswahrscheinlichkeit hin. Microsoft hat Sicherheitsupdates im Rahmen des Februar 2025 Patch Tuesday bereitgestellt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20915 |
| microsoft | windows 10 1607 | < 10.0.14393.7785 |
| microsoft | windows 10 1809 | < 10.0.17763.6893 |
| microsoft | windows 10 21h2 | < 10.0.19044.5487 |
| microsoft | windows 10 22h2 | < 10.0.19045.5487 |
| microsoft | windows 11 22h2 | < 10.0.22621.4890 |
| microsoft | windows 11 23h2 | < 10.0.22631.4890 |
| microsoft | windows 11 24h2 | < 10.0.26100.3107 |
| microsoft | windows server 2016 | < 10.0.14393.7785 |
| microsoft | windows server 2019 | < 10.0.17763.6893 |
| microsoft | windows server 2022 | < 10.0.20348.3148 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1425 |
| microsoft | windows server 2025 | < 10.0.26100.3107 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21391(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-21391(US Government Resource)
Schwachstellentyp
Elevation of Privilege via Windows Storage
CVE-2025-21391 betrifft eine Schwachstelle im Windows Storage-Subsystem, die eine lokale Rechteeskalation mit Schwerpunkt auf Integritaets- und Verfuegbarkeitsauswirkungen ermoeglicht. Diese Schwachstellenklasse ist verwandt mit CWE-269 (Improper Privilege Management) und tritt auf, wenn Zugriffskontrollen im Dateisystem nicht korrekt durchgesetzt werden, sodass ein Angreifer Dateien manipulieren oder loeschen kann, auf die er normalerweise keinen Zugriff haette.
Weitere Informationen: CWE-269 -- Improper Privilege Management
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-21391 betreffen primaer Integritaet und Verfuegbarkeit mit jeweils hohem Schweregrad, waehrend die Vertraulichkeit nicht betroffen ist (C:N). Der CVSS-Vektor zeigt einen lokalen Angriffsvektor (AV:L) mit niedriger Komplexitaet (AC:L) und niedrigen Privilegienanforderungen (PR:L). Ein Angreifer kann keine Daten lesen, aber systemkritische Dateien modifizieren oder loeschen. Dies ermoeglicht Denial-of-Service-Angriffe durch Loeschen wichtiger Systemdateien, das Umgehen von Sicherheitsmechanismen durch Manipulation von Konfigurationsdateien oder die Vorbereitung weiterer Angriffe durch Ersetzen legitimer Dateien. In Unternehmensumgebungen kann das gezielte Loeschen von Audit-Logs oder Sicherheitskonfigurationen die Erkennung parallel laufender Angriffe erheblich erschweren. Der EPSS-Score von 2.18 % (84.1. Perzentil) stuft diese Schwachstelle als ueberdurchschnittlich haeufig ausgenutzt ein. Der Ransomware-Status ist als unbekannt klassifiziert.
Exploit-Reifegrad
CVE-2025-21391 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 4. Maerz 2025, und bestaetigt damit die aktive Ausnutzung als Zero-Day. Microsoft hat die Schwachstelle im Rahmen des Februar 2025 Patch Tuesday adressiert, und Patches sind ueber das Microsoft Security Response Center verfuegbar. Der EPSS-Score von 2.18 % (84.1. Perzentil) liegt ueber dem Durchschnitt, ist jedoch niedriger als bei verwandten Schwachstellen wie CVE-2025-21418, was auf eine geringere Verbreitung der Exploit-Methodik hindeutet. Die aktive Ausnutzung wurde dennoch von der CISA bestaetigt, was auf gezielte Angriffe hinweist.
Behebung
-
Windows-Updates installieren: Installieren Sie umgehend die Sicherheitsupdates aus dem Februar 2025 Patch Tuesday fuer alle betroffenen Windows-Systeme. Die Patches sind ueber Windows Update, WSUS und den Microsoft Update Catalog verfuegbar. Pruefen Sie die spezifischen KB-Artikel im MSRC Advisory.
-
Kritische Systeme priorisieren: Patchen Sie zunaechst Server und Systeme mit sensiblen Daten, da die Schwachstelle das Loeschen und Manipulieren von Dateien ermoeglicht. Systeme mit gemeinsam genutzten Dateisystemen sollten besonders priorisiert werden.
-
Dateisystem-Monitoring aktivieren: Implementieren Sie File Integrity Monitoring (FIM) auf kritischen Systemen, um unautorisierte Aenderungen an Systemdateien, Konfigurationen und Logs fruehzeitig zu erkennen.
-
Backup-Strategie ueberpruefen: Stellen Sie sicher, dass aktuelle Backups kritischer Daten und Systemkonfigurationen vorhanden sind, da die Schwachstelle das Loeschen von Dateien ermoeglicht. Verifizieren Sie die Wiederherstellbarkeit der Backups.
-
Least-Privilege-Prinzip anwenden: Beschraenken Sie lokale Benutzerrechte auf das notwendige Minimum und ueberpruefen Sie, welche Benutzer Zugang zu kritischen Systemen haben.
Technische Details
CVE-2025-21391 betrifft das Windows Storage-Subsystem, das fuer Dateisystemoperationen auf Windows-Betriebssystemen zustaendig ist. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H beschreibt einen lokalen Angriff (AV:L) mit niedriger Komplexitaet (AC:L), der niedrige Privilegien (PR:L) erfordert und keine Benutzerinteraktion (UI:N) benoetigt. Bemerkenswert ist, dass die Vertraulichkeit nicht betroffen ist (C:N), waehrend Integritaet (I:H) und Verfuegbarkeit (A:H) hoch bewertet sind. Dies deutet darauf hin, dass die Schwachstelle das Loeschen oder Ueberschreiben von Dateien ermoeglicht, ohne deren Inhalt lesen zu koennen. Der Angriff nutzt eine fehlerhafte Zugriffsvalidierung im Storage-Subsystem aus, durch die ein Benutzer mit niedrigen Privilegien Dateioperationen auf geschuetzte Systembereiche ausdehnen kann. Betroffen sind Windows 10 ab Version 1507, Windows 11 (22H2, 23H2, 24H2) sowie Windows Server 2016, 2019, 2022, 2022 23H2 und Server 2025.
Häufig gestellte Fragen
Wird CVE-2025-21391 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-21391 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung als Zero-Day. Microsoft hat die Schwachstelle im Februar 2025 Patch Tuesday behoben. Die Ausnutzung erfordert lokalen Zugang mit niedrigen Privilegien.
Welche Auswirkungen hat CVE-2025-21391?
Die Schwachstelle ermoeglicht es einem lokalen Angreifer, Dateien zu loeschen oder zu manipulieren, auf die er normalerweise keinen Zugriff haette. Der Angreifer kann jedoch keine Dateien lesen (C:N). Die Hauptgefahr besteht im Loeschen von Systemdateien, Sicherheitskonfigurationen oder Audit-Logs.
Welche Windows-Versionen sind betroffen?
Betroffen sind Windows 10 (Versionen 1507 bis 22H2), Windows 11 (22H2, 23H2, 24H2) sowie Windows Server 2016, 2019, 2022, 2022 23H2 und Server 2025. Windows Server 2008 und 2012 sind im Gegensatz zu CVE-2025-21418 nicht betroffen.
Wie unterscheidet sich CVE-2025-21391 von CVE-2025-21418?
Beide sind Elevation-of-Privilege-Schwachstellen, die im Februar 2025 als Zero-Days behoben wurden. CVE-2025-21418 betrifft den WinSock-Treiber und ermoeglicht SYSTEM-Rechte mit vollem Zugriff auf Vertraulichkeit, Integritaet und Verfuegbarkeit. CVE-2025-21391 betrifft das Storage-Subsystem und ermoeglicht nur Dateimanipulation und -loeschung ohne Lesezugriff.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.