CVE-2025-24991
Microsoft Windows NTFS Out-Of-Bounds Read Vulnerability
Beschreibung
CVE-2025-24991 ist eine Out-of-bounds Read-Schwachstelle im NTFS-Dateisystem von Microsoft Windows. Die Schwachstelle ermoeglicht es einem Angreifer, durch das Oeffnen einer speziell praeparierten VHD-Datei (Virtual Hard Disk) sensible Informationen aus dem Speicher des Systems auszulesen. Mit einem CVSS v3.1-Score von 5.5 (MITTEL) ist die Schwachstelle als mittelschwer eingestuft, erfordert jedoch Benutzerinteraktion zum Oeffnen der manipulierten Datei.
Die CISA hat CVE-2025-24991 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, was auf aktive Ausnutzung in freier Wildbahn hindeutet. Die Behebungsfrist wurde auf den 1. April 2025 festgelegt. Der EPSS-Score von 0,71 % (72. Perzentil) zeigt ein erhoehtes Risiko der Ausnutzung. Betroffen sind nahezu alle unterstuetzten Windows-Versionen, einschliesslich Windows 10, Windows 11 und Windows Server.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20947 |
| microsoft | windows 10 1607 | < 10.0.14393.7876 |
| microsoft | windows 10 1809 | < 10.0.17763.7009 |
| microsoft | windows 10 21h2 | < 10.0.19044.5608 |
| microsoft | windows 10 22h2 | < 10.0.19045.5608 |
| microsoft | windows 11 22h2 | < 10.0.22621.5039 |
| microsoft | windows 11 23h2 | < 10.0.22631.5039 |
| microsoft | windows 11 24h2 | < 10.0.26100.3403 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7876 |
| microsoft | windows server 2019 | < 10.0.17763.7009 |
| microsoft | windows server 2022 | < 10.0.20348.3270 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1486 |
| microsoft | windows server 2025 | < 10.0.26100.3403 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24991(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-24991(US Government Resource)
Schwachstellentyp
CWE-125: Out-of-bounds Read
CVE-2025-24991 basiert auf CWE-125 (Out-of-bounds Read), einer Schwachstellenklasse, bei der Software ueber die Grenzen eines Speicherpuffers hinaus liest. Im Kontext des Windows NTFS-Treibers fuehrt die fehlerhafte Verarbeitung speziell praeparierter Dateisystem-Strukturen dazu, dass der Treiber Daten aus Speicherbereichen liest, die ausserhalb der vorgesehenen Grenzen liegen. Dies kann zur Offenlegung vertraulicher Informationen fuehren, die im Kernel-Speicher abgelegt sind.
Weitere Informationen: CWE-125 -- Out-of-bounds Read
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-24991 konzentrieren sich primaer auf die Vertraulichkeit des Systems. Der CVSS-Vektor (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N) zeigt, dass ein lokaler Angriffsvektor vorliegt, der eine Benutzerinteraktion erfordert -- typischerweise das Oeffnen oder Einbinden einer manipulierten VHD-Datei. Die Angriffskomplexitaet ist niedrig, und es werden keine besonderen Privilegien benoetigt. Die Vertraulichkeitsauswirkung ist als hoch eingestuft, da der Angreifer potenziell sensible Daten aus dem Kernel-Speicher auslesen kann, darunter moeglicherweise Zugangsdaten, kryptografische Schluessel oder andere sicherheitsrelevante Informationen. Integritaet und Verfuegbarkeit sind nicht betroffen. Mit einem CVSS-Score von 5.5 und der Einstufung als MEDIUM erscheint die Schwachstelle isoliert betrachtet weniger kritisch, doch die Aufnahme in den CISA KEV-Katalog unterstreicht, dass sie in realen Angriffsszenarien aktiv ausgenutzt wird -- haeufig in Kombination mit anderen Schwachstellen wie CVE-2025-24993, die eine Codeausfuehrung ermoeglichen.
Exploit-Reifegrad
CVE-2025-24991 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle als aktiv ausgenutzt in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. April 2025. Der EPSS-Score von 0,71 % (72. Perzentil) deutet auf eine erhebliche Wahrscheinlichkeit der Ausnutzung hin. Die Schwachstelle wird haeufig in Kombination mit CVE-2025-24993 (NTFS Heap-based Buffer Overflow) ausgenutzt, wobei die Informationsoffenlegung durch CVE-2025-24991 als Vorbereitung fuer die anschliessende Codeausfuehrung dient. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Microsoft-Sicherheitsupdate installieren: Wenden Sie umgehend die im Maerz 2025 veroeffentlichten Sicherheitsupdates von Microsoft an. Betroffene Versionen umfassen Windows 10 (alle Editionen), Windows 11 22H2/23H2/24H2 sowie Windows Server 2008 bis Server 2025. Die spezifischen KB-Artikel sind ueber das Microsoft Security Update Guide verfuegbar.
-
VHD-Dateien aus nicht vertrauenswuerdigen Quellen blockieren: Konfigurieren Sie Gruppenrichtlinien oder Endpoint-Security-Loesungen, um das automatische Einbinden von VHD- und VHDX-Dateien zu unterbinden. Schulen Sie Benutzer, keine Disk-Image-Dateien aus unbekannten Quellen zu oeffnen.
-
Netzwerkueberwachung verstaerken: Ueberwachen Sie Systeme auf ungewoehnliche Dateizugriffsmuster, insbesondere auf das Einbinden externer virtueller Festplatten. Pruefen Sie Windows-Ereignisprotokolle auf verdaechtige NTFS-bezogene Aktivitaeten.
-
Kombinations-Angriffe beruecksichtigen: Da CVE-2025-24991 haeufig zusammen mit CVE-2025-24993 ausgenutzt wird, stellen Sie sicher, dass beide Patches gleichzeitig angewendet werden. Pruefen Sie Systeme auf Anzeichen einer bereits erfolgten Kompromittierung.
-
Patch-Management beschleunigen: Angesichts der aktiven Ausnutzung und der CISA-Behebungsfrist sollte die Installation der Updates mit hoechster Prioritaet erfolgen. Testen Sie die Updates in einer kontrollierten Umgebung und rollen Sie sie schnellstmoeglich in der Produktionsumgebung aus.
Technische Details
CVE-2025-24991 betrifft den NTFS-Treiber in Microsoft Windows. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N zeigt einen lokalen Angriffsvektor (AV:L) mit niedriger Komplexitaet (AC:L) und ohne erforderliche Privilegien (PR:N), jedoch mit notwendiger Benutzerinteraktion (UI:R). Der Angriff erfolgt typischerweise ueber eine speziell praeparierte VHD-Datei, die beim Einbinden manipulierte NTFS-Strukturen enthaelt. Wenn der NTFS-Treiber diese Strukturen verarbeitet, liest er ueber die vorgesehenen Puffergrenzen hinaus und gibt dabei Kernel-Speicherinhalte preis.
Die Schwachstelle basiert auf einer fehlenden oder unzureichenden Pruefung der Grenzen beim Lesen von Metadaten innerhalb des NTFS-Dateisystems. Der Scope bleibt unveraendert (S:U), was bedeutet, dass nur die NTFS-Komponente direkt betroffen ist. Die ausschliesslich hohe Auswirkung auf die Vertraulichkeit (C:H) bei fehlender Auswirkung auf Integritaet (I:N) und Verfuegbarkeit (A:N) ist charakteristisch fuer Out-of-bounds Read-Schwachstellen, die primaer der Informationsgewinnung dienen.
Häufig gestellte Fragen
Wird CVE-2025-24991 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-24991 in den KEV-Katalog aufgenommen und damit bestaetigt, dass die Schwachstelle aktiv in freier Wildbahn ausgenutzt wird. Die Behebungsfrist wurde auf den 1. April 2025 festgelegt. Die Schwachstelle wird haeufig in Kombination mit CVE-2025-24993 fuer eine vollstaendige Angriffskette verwendet.
Welche Produkte sind von CVE-2025-24991 betroffen?
Betroffen sind praktisch alle unterstuetzten Windows-Versionen: Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2) sowie Windows Server 2008, 2012, 2016, 2019, 2022, 2022 23H2 und Server 2025. Die Schwachstelle liegt im NTFS-Treiber, der in allen Windows-Versionen vorhanden ist.
Wie wird CVE-2025-24991 ausgenutzt?
Die Ausnutzung erfordert, dass ein Benutzer eine speziell praeparierte VHD-Datei (Virtual Hard Disk) oeffnet oder einbindet. Diese Datei enthaelt manipulierte NTFS-Strukturen, die den Treiber dazu veranlassen, ueber Speichergrenzen hinaus zu lesen. Die offengelegten Informationen koennen dann fuer weitergehende Angriffe verwendet werden.
Wie schwerwiegend ist CVE-2025-24991?
Mit einem CVSS-Score von 5.5 (MEDIUM) ist die Schwachstelle isoliert betrachtet mittelschwer. Die aktive Ausnutzung und die haeufige Verkettung mit der schwerwiegenderen CVE-2025-24993 erhoehen jedoch die praktische Relevanz erheblich. Organisationen sollten die Behebung priorisieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.