CVE-2025-24993
Microsoft Windows NTFS Heap-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2025-24993 ist eine Heap-basierte Pufferueberauf-Schwachstelle im NTFS-Dateisystem von Microsoft Windows. Ein nicht authentifizierter Angreifer kann durch die Manipulation von NTFS-Strukturen beliebigen Code lokal auf dem System ausfuehren, wobei eine Benutzerinteraktion erforderlich ist. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.8 (HIGH) bewertet und betrifft nahezu alle unterstuetzten Windows-Versionen, einschliesslich Windows 10, Windows 11 und Windows Server.
Die CISA hat CVE-2025-24993 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. April 2025. Der EPSS-Score von 1.48 % (81. Perzentil) zeigt eine reale Ausnutzungswahrscheinlichkeit. In Kombination mit den gleichzeitig entdeckten NTFS-Schwachstellen CVE-2025-24991 und CVE-2025-24984 ergibt sich ein besonders kritisches Angriffsszenario fuer Windows-Systeme.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20947 |
| microsoft | windows 10 1607 | < 10.0.14393.7876 |
| microsoft | windows 10 1809 | < 10.0.17763.7009 |
| microsoft | windows 10 21h2 | < 10.0.19044.5608 |
| microsoft | windows 10 22h2 | < 10.0.19045.5608 |
| microsoft | windows 11 22h2 | < 10.0.22621.5039 |
| microsoft | windows 11 23h2 | < 10.0.22631.5039 |
| microsoft | windows 11 24h2 | < 10.0.26100.3403 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7876 |
| microsoft | windows server 2019 | < 10.0.17763.7009 |
| microsoft | windows server 2022 | < 10.0.20348.3270 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1486 |
| microsoft | windows server 2025 | < 10.0.26100.3403 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24993(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-24993(US Government Resource)
Schwachstellentyp
CWE-122: Heap-basierter Pufferueberauf
CVE-2025-24993 faellt unter CWE-122 (Heap-based Buffer Overflow), eine Schwachstellenklasse, bei der ein Schreibvorgang ueber die Grenzen eines auf dem Heap allokierten Puffers hinausgeht. Im Fall von Windows NTFS fuehrt die fehlerhafte Verarbeitung bestimmter NTFS-Strukturen zu einem Heap-Ueberauf, der zur Ausfuehrung beliebigen Codes genutzt werden kann. Heap-basierte Pufferueberlaeufe in Dateisystemtreibern sind besonders gefaehrlich, da diese mit Kernel-Rechten ausgefuehrt werden.
Weitere Informationen: CWE-122 -- Heap-based Buffer Overflow
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-24993 sind aufgrund der Kernel-Ebene des NTFS-Treibers und der breiten Betroffenheit aller Windows-Versionen besonders schwerwiegend. Der CVSS-Score von 7.8 (HIGH) mit dem Vektor AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff lokal (AV:L) ohne Authentifizierung (PR:N) bei niedriger Komplexitaet (AC:L) durchfuehrbar ist, jedoch eine Benutzerinteraktion erfordert (UI:R) -- beispielsweise das Oeffnen einer manipulierten Datei oder das Einbinden eines manipulierten USB-Laufwerks. Vertraulichkeit, Integritaet und Verfuegbarkeit (alle High): Durch die Codeausfuehrung im Kernel-Kontext erhaelt der Angreifer SYSTEM-Rechte auf dem betroffenen Computer, was die vollstaendige Kontrolle ueber das System ermoeglicht. Der EPSS-Score von 1.48 % im 81. Perzentil zeigt eine moderate, aber reale Ausnutzungswahrscheinlichkeit. Die Kombination mit CVE-2025-24991 (NTFS Information Disclosure) und CVE-2025-24984 (NTFS Sensitive Information in Logs) deutet auf ein koordiniertes Angriffsszenario gegen das NTFS-Dateisystem hin.
Exploit-Reifegrad
CVE-2025-24993 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestaetigt. Microsoft hat im Maerz 2025 Patch Tuesday den Fix bereitgestellt und die Schwachstelle als aktiv ausgenutzt gekennzeichnet. Der EPSS-Score von 1.48 % (81. Perzentil) ist moderat. CVE-2025-24993 wurde zusammen mit CVE-2025-24991 (NTFS Out-of-bounds Read) und CVE-2025-24984 (NTFS Information Disclosure) im selben Patch-Zyklus behoben, was auf ein zusammenhaengendes Angriffsszenario hindeutet, bei dem mehrere NTFS-Schwachstellen in Kombination ausgenutzt werden. Der Ransomware-Status ist als Unknown klassifiziert, jedoch ist die Codeausfuehrung auf Kernel-Ebene ein idealer Vektor fuer Ransomware-Angriffe.
Behebung
-
Maerz 2025 Sicherheitsupdates installieren: Wenden Sie umgehend die Microsoft-Sicherheitsupdates vom Maerz 2025 an. Aktualisieren Sie Windows 10, Windows 11 und Windows Server auf die jeweiligen gepatchten Versionen gemaess dem Microsoft Security Update Guide.
-
Verwandte NTFS-Patches mitinstallieren: Stellen Sie sicher, dass neben CVE-2025-24993 auch die verwandten NTFS-Schwachstellen CVE-2025-24991 und CVE-2025-24984 gepatcht werden, da diese moeglicherweise im Rahmen eines koordinierten Angriffs kombiniert werden.
-
USB-Zugriff einschraenken: Da die Schwachstelle Benutzerinteraktion erfordert (z.B. das Einbinden eines manipulierten USB-Laufwerks), beschraenken Sie den USB-Zugang ueber Gruppenrichtlinien. Blockieren Sie die automatische Ausfuehrung und das automatische Einbinden von Wechselmedien.
-
Endpoint Detection aktivieren: Konfigurieren Sie Ihre EDR-Loesung zur Erkennung verdaechtiger NTFS-Operationen und Kernel-Exploits. Ueberwachen Sie Systeme auf ungewoehnliche NTFS-Treiberaktivitaeten und Speicherzugriffsmuster.
-
Sicherheitsbewusstsein schaerfen: Sensibilisieren Sie Benutzer dafuer, keine unbekannten USB-Laufwerke anzuschliessen und keine verdaechtigen Dateien zu oeffnen, die manipulierte NTFS-Strukturen enthalten koennten.
Technische Details
CVE-2025-24993 betrifft den NTFS-Dateisystemtreiber in nahezu allen unterstuetzten Windows-Versionen, einschliesslich Windows 10 (1507 bis 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 bis 2025. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt einen lokalen Angriff ohne Authentifizierung, der jedoch Benutzerinteraktion erfordert. Die Schwachstelle ist ein Heap-basierter Pufferueberauf (CWE-122) im NTFS-Treiber, der bei der Verarbeitung manipulierter NTFS-Strukturen ausgeloest wird. Da der NTFS-Treiber im Kernel-Modus ausfuehrt, fuehrt ein erfolgreicher Exploit zur Codeausfuehrung mit SYSTEM-Rechten. Der Angriffsvektor erfordert typischerweise, dass ein Benutzer ein manipuliertes NTFS-Dateisystem einbindet (z.B. ueber ein USB-Laufwerk) oder eine Datei oeffnet, die manipulierte NTFS-Metadaten enthaelt. Die gleichzeitige Entdeckung und Behebung von CVE-2025-24991 (Out-of-bounds Read) und CVE-2025-24984 (Information Disclosure) im selben NTFS-Treiber deutet auf eine systematische Analyse und Ausnutzung mehrerer NTFS-Schwachstellen hin.
Häufig gestellte Fragen
Wird CVE-2025-24993 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-24993 in den KEV-Katalog aufgenommen, und Microsoft hat die Schwachstelle als aktiv ausgenutzt gekennzeichnet. Der EPSS-Score von 1.48 % im 81. Perzentil bestaetigt die reale Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2025-24993 betroffen?
Betroffen sind nahezu alle unterstuetzten Windows-Versionen: Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008, 2012, 2016, 2019, 2022 (einschliesslich 23H2) und Windows Server 2025. Die Schwachstelle liegt im NTFS-Dateisystemtreiber.
Wie behebe ich CVE-2025-24993?
Installieren Sie umgehend die Microsoft-Sicherheitsupdates vom Maerz 2025. Stellen Sie sicher, dass auch die verwandten NTFS-Schwachstellen CVE-2025-24991 und CVE-2025-24984 gepatcht werden. Beschraenken Sie zusaetzlich den USB-Zugriff ueber Gruppenrichtlinien.
Wie schwerwiegend ist CVE-2025-24993?
Mit einem CVSS-Score von 7.8 (HIGH) und aktiver Ausnutzung ist die Schwachstelle als hochkritisch einzustufen. Die Codeausfuehrung im Kernel-Kontext ermoeglicht die vollstaendige Systemuebernahme mit SYSTEM-Rechten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.