CVE-2025-24993

HIGH(7.8)KEV

Microsoft Windows NTFS Heap-Based Buffer Overflow Vulnerability

Beschreibung

CVE-2025-24993 ist eine Heap-basierte Pufferueberauf-Schwachstelle im NTFS-Dateisystem von Microsoft Windows. Ein nicht authentifizierter Angreifer kann durch die Manipulation von NTFS-Strukturen beliebigen Code lokal auf dem System ausfuehren, wobei eine Benutzerinteraktion erforderlich ist. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.8 (HIGH) bewertet und betrifft nahezu alle unterstuetzten Windows-Versionen, einschliesslich Windows 10, Windows 11 und Windows Server.

Die CISA hat CVE-2025-24993 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. April 2025. Der EPSS-Score von 1.48 % (81. Perzentil) zeigt eine reale Ausnutzungswahrscheinlichkeit. In Kombination mit den gleichzeitig entdeckten NTFS-Schwachstellen CVE-2025-24991 und CVE-2025-24984 ergibt sich ein besonders kritisches Angriffsszenario fuer Windows-Systeme.

KEV-Informationen

Hersteller
Microsoft
Produkt
Windows
Hinzugefügt am
11. März 2025
Fälligkeitsdatum
1. April 2025
Erforderliche Maßnahme
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVSS-Score

Vektorstring
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnen
Angriffsvektor
LOCAL
Angriffskomplexität
LOW
Erforderliche Privilegien
NONE
Benutzerinteraktion
REQUIRED
Scope
UNCHANGED
Vertraulichkeitsauswirkung
HIGH
Integritätsauswirkung
HIGH
Verfügbarkeitsauswirkung
HIGH
Ausnutzbarkeitsscore
1.8
Auswirkungsscore
5.9

CWEs

Betroffene Produkte

HerstellerProduktVersion
microsoftwindows 10 1507< 10.0.10240.20947
microsoftwindows 10 1607< 10.0.14393.7876
microsoftwindows 10 1809< 10.0.17763.7009
microsoftwindows 10 21h2< 10.0.19044.5608
microsoftwindows 10 22h2< 10.0.19045.5608
microsoftwindows 11 22h2< 10.0.22621.5039
microsoftwindows 11 23h2< 10.0.22631.5039
microsoftwindows 11 24h2< 10.0.26100.3403
microsoftwindows server 2008-; r2
microsoftwindows server 2012-; r2
microsoftwindows server 2016< 10.0.14393.7876
microsoftwindows server 2019< 10.0.17763.7009
microsoftwindows server 2022< 10.0.20348.3270
microsoftwindows server 2022 23h2< 10.0.25398.1486
microsoftwindows server 2025< 10.0.26100.3403

Referenzen

Schwachstellentyp

CWE-122: Heap-basierter Pufferueberauf

CVE-2025-24993 faellt unter CWE-122 (Heap-based Buffer Overflow), eine Schwachstellenklasse, bei der ein Schreibvorgang ueber die Grenzen eines auf dem Heap allokierten Puffers hinausgeht. Im Fall von Windows NTFS fuehrt die fehlerhafte Verarbeitung bestimmter NTFS-Strukturen zu einem Heap-Ueberauf, der zur Ausfuehrung beliebigen Codes genutzt werden kann. Heap-basierte Pufferueberlaeufe in Dateisystemtreibern sind besonders gefaehrlich, da diese mit Kernel-Rechten ausgefuehrt werden.

Weitere Informationen: CWE-122 -- Heap-based Buffer Overflow

Auswirkungsanalyse

Die Auswirkungen von CVE-2025-24993 sind aufgrund der Kernel-Ebene des NTFS-Treibers und der breiten Betroffenheit aller Windows-Versionen besonders schwerwiegend. Der CVSS-Score von 7.8 (HIGH) mit dem Vektor AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff lokal (AV:L) ohne Authentifizierung (PR:N) bei niedriger Komplexitaet (AC:L) durchfuehrbar ist, jedoch eine Benutzerinteraktion erfordert (UI:R) -- beispielsweise das Oeffnen einer manipulierten Datei oder das Einbinden eines manipulierten USB-Laufwerks. Vertraulichkeit, Integritaet und Verfuegbarkeit (alle High): Durch die Codeausfuehrung im Kernel-Kontext erhaelt der Angreifer SYSTEM-Rechte auf dem betroffenen Computer, was die vollstaendige Kontrolle ueber das System ermoeglicht. Der EPSS-Score von 1.48 % im 81. Perzentil zeigt eine moderate, aber reale Ausnutzungswahrscheinlichkeit. Die Kombination mit CVE-2025-24991 (NTFS Information Disclosure) und CVE-2025-24984 (NTFS Sensitive Information in Logs) deutet auf ein koordiniertes Angriffsszenario gegen das NTFS-Dateisystem hin.

Exploit-Reifegrad

CVE-2025-24993 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestaetigt. Microsoft hat im Maerz 2025 Patch Tuesday den Fix bereitgestellt und die Schwachstelle als aktiv ausgenutzt gekennzeichnet. Der EPSS-Score von 1.48 % (81. Perzentil) ist moderat. CVE-2025-24993 wurde zusammen mit CVE-2025-24991 (NTFS Out-of-bounds Read) und CVE-2025-24984 (NTFS Information Disclosure) im selben Patch-Zyklus behoben, was auf ein zusammenhaengendes Angriffsszenario hindeutet, bei dem mehrere NTFS-Schwachstellen in Kombination ausgenutzt werden. Der Ransomware-Status ist als Unknown klassifiziert, jedoch ist die Codeausfuehrung auf Kernel-Ebene ein idealer Vektor fuer Ransomware-Angriffe.

Behebung

  1. Maerz 2025 Sicherheitsupdates installieren: Wenden Sie umgehend die Microsoft-Sicherheitsupdates vom Maerz 2025 an. Aktualisieren Sie Windows 10, Windows 11 und Windows Server auf die jeweiligen gepatchten Versionen gemaess dem Microsoft Security Update Guide.

  2. Verwandte NTFS-Patches mitinstallieren: Stellen Sie sicher, dass neben CVE-2025-24993 auch die verwandten NTFS-Schwachstellen CVE-2025-24991 und CVE-2025-24984 gepatcht werden, da diese moeglicherweise im Rahmen eines koordinierten Angriffs kombiniert werden.

  3. USB-Zugriff einschraenken: Da die Schwachstelle Benutzerinteraktion erfordert (z.B. das Einbinden eines manipulierten USB-Laufwerks), beschraenken Sie den USB-Zugang ueber Gruppenrichtlinien. Blockieren Sie die automatische Ausfuehrung und das automatische Einbinden von Wechselmedien.

  4. Endpoint Detection aktivieren: Konfigurieren Sie Ihre EDR-Loesung zur Erkennung verdaechtiger NTFS-Operationen und Kernel-Exploits. Ueberwachen Sie Systeme auf ungewoehnliche NTFS-Treiberaktivitaeten und Speicherzugriffsmuster.

  5. Sicherheitsbewusstsein schaerfen: Sensibilisieren Sie Benutzer dafuer, keine unbekannten USB-Laufwerke anzuschliessen und keine verdaechtigen Dateien zu oeffnen, die manipulierte NTFS-Strukturen enthalten koennten.

Technische Details

CVE-2025-24993 betrifft den NTFS-Dateisystemtreiber in nahezu allen unterstuetzten Windows-Versionen, einschliesslich Windows 10 (1507 bis 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 bis 2025. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt einen lokalen Angriff ohne Authentifizierung, der jedoch Benutzerinteraktion erfordert. Die Schwachstelle ist ein Heap-basierter Pufferueberauf (CWE-122) im NTFS-Treiber, der bei der Verarbeitung manipulierter NTFS-Strukturen ausgeloest wird. Da der NTFS-Treiber im Kernel-Modus ausfuehrt, fuehrt ein erfolgreicher Exploit zur Codeausfuehrung mit SYSTEM-Rechten. Der Angriffsvektor erfordert typischerweise, dass ein Benutzer ein manipuliertes NTFS-Dateisystem einbindet (z.B. ueber ein USB-Laufwerk) oder eine Datei oeffnet, die manipulierte NTFS-Metadaten enthaelt. Die gleichzeitige Entdeckung und Behebung von CVE-2025-24991 (Out-of-bounds Read) und CVE-2025-24984 (Information Disclosure) im selben NTFS-Treiber deutet auf eine systematische Analyse und Ausnutzung mehrerer NTFS-Schwachstellen hin.

Häufig gestellte Fragen

Wird CVE-2025-24993 aktiv ausgenutzt?

Ja, die CISA hat CVE-2025-24993 in den KEV-Katalog aufgenommen, und Microsoft hat die Schwachstelle als aktiv ausgenutzt gekennzeichnet. Der EPSS-Score von 1.48 % im 81. Perzentil bestaetigt die reale Ausnutzungswahrscheinlichkeit.

Welche Produkte sind von CVE-2025-24993 betroffen?

Betroffen sind nahezu alle unterstuetzten Windows-Versionen: Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008, 2012, 2016, 2019, 2022 (einschliesslich 23H2) und Windows Server 2025. Die Schwachstelle liegt im NTFS-Dateisystemtreiber.

Wie behebe ich CVE-2025-24993?

Installieren Sie umgehend die Microsoft-Sicherheitsupdates vom Maerz 2025. Stellen Sie sicher, dass auch die verwandten NTFS-Schwachstellen CVE-2025-24991 und CVE-2025-24984 gepatcht werden. Beschraenken Sie zusaetzlich den USB-Zugriff ueber Gruppenrichtlinien.

Wie schwerwiegend ist CVE-2025-24993?

Mit einem CVSS-Score von 7.8 (HIGH) und aktiver Ausnutzung ist die Schwachstelle als hochkritisch einzustufen. Die Codeausfuehrung im Kernel-Kontext ermoeglicht die vollstaendige Systemuebernahme mit SYSTEM-Rechten.

CVSS-Score

7.8
HIGH(7.8)

EPSS-Score

EPSS-Score2.17%
EPSS-Perzentil80.9%

Daten

Veröffentlicht11. März 2025
Zuletzt geändert17. Juni 2026
StatusAnalyzed
CVSS-Versionv3.1

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.