CVE-2025-21418
Microsoft Windows Ancillary Function Driver for WinSock Heap-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2025-21418 ist eine Elevation of Privilege-Schwachstelle im Windows Ancillary Function Driver for WinSock (afd.sys), die es einem lokalen Angreifer mit niedrigen Privilegien ermoeglicht, SYSTEM-Rechte auf dem betroffenen System zu erlangen. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.8 (HIGH) bewertet und betrifft nahezu alle unterstuetzten Windows-Versionen von Windows 10 ueber Windows 11 bis hin zu Windows Server 2008 bis 2025.
Die CISA hat CVE-2025-21418 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 8.43 % (92.2. Perzentil) weist auf eine deutlich erhoehte Ausnutzungswahrscheinlichkeit hin. Microsoft stellt Sicherheitsupdates ueber den regulaeren Patch Tuesday bereit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | < 10.0.10240.20915 |
| microsoft | windows 10 1809 | < 10.0.17763.6893 |
| microsoft | windows 10 21h2 | < 10.0.19044.5487 |
| microsoft | windows 10 22h2 | < 10.0.19045.5487 |
| microsoft | windows 11 22h2 | < 10.0.22621.4890 |
| microsoft | windows 11 23h2 | < 10.0.22631.4890 |
| microsoft | windows 11 24h2 | < 10.0.26100.3107 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7785 |
| microsoft | windows server 2019 | < 10.0.17763.6893 |
| microsoft | windows server 2022 | < 10.0.20348.3148 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1425 |
| microsoft | windows server 2025 | < 10.0.26100.3107 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21418(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-21418(US Government Resource)
Schwachstellentyp
Elevation of Privilege via Kernel-Treiber
CVE-2025-21418 betrifft eine Schwachstelle im Kernel-Treiber afd.sys (Ancillary Function Driver for WinSock), die eine lokale Rechteeskalation ermoeglicht. Diese Schwachstellenklasse ist verwandt mit CWE-269 (Improper Privilege Management) und tritt auf, wenn ein Systemtreiber Benutzereingaben oder Speicheroperationen nicht korrekt validiert, sodass ein Angreifer Kernel-Speicher manipulieren und seine Privilegien auf SYSTEM-Ebene erhoehen kann.
Weitere Informationen: CWE-269 -- Improper Privilege Management
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-21418 betreffen Vertraulichkeit, Integritaet und Verfuegbarkeit jeweils mit hohem Schweregrad. Der CVSS-Vektor zeigt einen lokalen Angriffsvektor (AV:L) mit niedriger Komplexitaet (AC:L) und niedrigen Privilegienanforderungen (PR:L) -- ein Angreifer benoetigt lediglich einen lokalen Benutzeraccount auf dem Zielsystem. Die erfolgreiche Ausnutzung fuehrt zu SYSTEM-Rechten, der hoechsten Privilegienstufe unter Windows. Ein Angreifer mit SYSTEM-Rechten kann beliebige Software installieren, Sicherheitssoftware deaktivieren, auf alle Daten zugreifen und persistent im System verankern. In Unternehmensumgebungen ermoeglicht dies Lateral Movement und die Kompromittierung weiterer Systeme. Der EPSS-Score von 8.43 % (92.2. Perzentil) stuft diese Schwachstelle als ueberdurchschnittlich haeufig ausgenutzt ein. Der Ransomware-Status ist als unbekannt klassifiziert, wobei Elevation-of-Privilege-Schwachstellen regelmaessig in Angriffsketten fuer Ransomware-Deployments eingesetzt werden.
Exploit-Reifegrad
CVE-2025-21418 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 4. Maerz 2025, und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Microsoft hat die Schwachstelle im Rahmen des Februar 2025 Patch Tuesday adressiert und Patches ueber das Microsoft Security Response Center bereitgestellt. Der EPSS-Score von 8.43 % (92.2. Perzentil) unterstreicht die erhoehte Ausnutzungswahrscheinlichkeit. Die breite Angriffsoberflaeche ueber nahezu alle Windows-Versionen hinweg macht diese Schwachstelle zu einem attraktiven Ziel fuer Angreifer, insbesondere als Bestandteil mehrstufiger Angriffsketten.
Behebung
-
Windows-Updates installieren: Installieren Sie umgehend die von Microsoft im Februar 2025 bereitgestellten Sicherheitsupdates fuer alle betroffenen Windows-Systeme. Die Patches sind ueber Windows Update, WSUS und den Microsoft Update Catalog verfuegbar. Pruefen Sie die spezifischen KB-Artikel im MSRC Advisory.
-
Patch-Priorisierung: Priorisieren Sie das Patching fuer Systeme, die Internetdienste bereitstellen oder von mehreren Benutzern gemeinsam genutzt werden, da die Schwachstelle lediglich niedrige lokale Privilegien erfordert.
-
Endpoint Detection aktivieren: Stellen Sie sicher, dass Endpoint Detection and Response (EDR) auf allen Systemen aktiv ist und verdaechtige Aktivitaeten des afd.sys-Treibers ueberwacht. Ungewoehnliche Privilegien-Eskalationen sollten Alarme ausloesen.
-
Least-Privilege-Prinzip durchsetzen: Beschraenken Sie lokale Benutzerrechte auf das Minimum und vermeiden Sie die Vergabe von lokalen Administratorrechten. Setzen Sie Application Whitelisting ein, um die Ausfuehrung unbekannter Programme zu verhindern.
-
Legacy-Systeme pruefen: Besonderes Augenmerk gilt Windows Server 2008 und 2012, die ebenfalls betroffen sind. Pruefen Sie, ob Extended Security Updates (ESU) aktiv sind, und planen Sie die Migration auf unterstuetzte Versionen.
Technische Details
CVE-2025-21418 betrifft den Windows Ancillary Function Driver for WinSock (afd.sys), einen Kernel-Treiber, der die WinSock-API fuer Netzwerkkommunikation implementiert. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen lokalen Angriff (AV:L) mit niedriger Komplexitaet (AC:L), der niedrige Privilegien (PR:L) erfordert und keine Benutzerinteraktion (UI:N) benoetigt. Der afd.sys-Treiber verarbeitet Netzwerk-Socket-Operationen im Kernel-Modus und ist auf jedem Windows-System vorhanden. Die Schwachstelle ermoeglicht es einem Angreifer mit einem regulaeren Benutzerkonto, durch speziell praeparierte Anfragen an den Treiber eine Speichermanipulation im Kernel-Bereich auszuloesen und dadurch SYSTEM-Rechte zu erlangen. Betroffen sind Windows 10 (alle Versionen ab 1507), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 R2, 2012 R2, 2016, 2019, 2022, 2022 23H2 und Server 2025 mit jeweils spezifischen Build-Nummern.
Häufig gestellte Fragen
Wird CVE-2025-21418 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-21418 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Microsoft hat die Schwachstelle als Zero-Day im Februar 2025 Patch Tuesday behoben. Der EPSS-Score von 8.43 % (92.2. Perzentil) zeigt eine deutlich ueberdurchschnittliche Ausnutzungswahrscheinlichkeit.
Welche Windows-Versionen sind betroffen?
Nahezu alle unterstuetzten Windows-Versionen sind betroffen: Windows 10 (alle Versionen), Windows 11 (22H2, 23H2, 24H2) sowie Windows Server 2008 R2 bis Windows Server 2025. Die spezifischen betroffenen Build-Nummern sind im Microsoft Security Advisory aufgefuehrt.
Wie behebe ich CVE-2025-21418?
Installieren Sie die Sicherheitsupdates aus dem Februar 2025 Patch Tuesday ueber Windows Update oder WSUS. Die spezifischen KB-Artikel finden Sie im MSRC Advisory. Systeme sollten nach der Installation neu gestartet werden, da der betroffene Treiber im Kernel-Modus laeuft.
Kann CVE-2025-21418 aus der Ferne ausgenutzt werden?
Nein, die Schwachstelle erfordert lokalen Zugang zum System (AV:L). Ein Angreifer benoetigt jedoch nur niedrige Privilegien, etwa ein regulaeres Benutzerkonto. In Kombination mit einer Remote-Code-Execution-Schwachstelle kann sie jedoch als Teil einer Angriffskette fuer die vollstaendige Systemuebernahme genutzt werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.