CVE-2025-29824
Microsoft Windows Common Log File System (CLFS) Driver Use-After-Free Vulnerability
Beschreibung
CVE-2025-29824 ist eine Use-After-Free-Schwachstelle im Windows Common Log File System (CLFS) Driver von Microsoft. Ein lokal authentifizierter Angreifer mit niedrigen Privilegien kann diese Schwachstelle ausnutzen, um seine Berechtigungen auf SYSTEM-Ebene zu erhoehen. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.8 (HIGH) bewertet und ist besonders gefaehrlich, da sie nachweislich in Ransomware-Kampagnen eingesetzt wird.
Die CISA hat CVE-2025-29824 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 29. April 2025. Der Ransomware-Status ist als Known klassifiziert, was bedeutet, dass die Schwachstelle aktiv von Ransomware-Gruppen ausgenutzt wird. Betroffen sind praktisch alle unterstuetzten Windows-Versionen, einschliesslich Windows 10, Windows 11 und Windows Server 2008 bis 2025.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20978 |
| microsoft | windows 10 1607 | < 10.0.14393.7969 |
| microsoft | windows 10 1809 | < 10.0.17763.7136 |
| microsoft | windows 10 21h2 | < 10.0.19044.5737 |
| microsoft | windows 10 22h2 | < 10.0.19045.5737 |
| microsoft | windows 11 22h2 | < 10.0.22621.5189 |
| microsoft | windows 11 23h2 | < 10.0.22631.5189 |
| microsoft | windows 11 24h2 | < 10.0.26100.3775 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7969 |
| microsoft | windows server 2019 | < 10.0.17763.7136 |
| microsoft | windows server 2022 | < 10.0.20348.3453 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1551 |
| microsoft | windows server 2025 | < 10.0.26100.3775 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-29824(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-29824-windows-common-log-file-system-driver-elevation-of-privilege-vulnerability-detection-script(Exploit, Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-29824-windows-common-log-file-system-driver-elevation-of-privilege-vulnerability-mitigation-script(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-29824(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CVE-2025-29824 basiert auf CWE-416 (Use After Free), einer Schwachstellenklasse, bei der ein Programm auf Speicher zugreift, nachdem dieser bereits freigegeben wurde. Im Windows CLFS-Treiber wird ein Speicherobjekt nach der Freigabe erneut referenziert, was einem Angreifer ermoeglicht, den freigegebenen Speicher mit kontrollierten Daten zu belegen und so die Programmausfuehrung zu manipulieren.
Mehr erfahren: CWE-416 -- Use After Free
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-29824 sind aufgrund der Privilege-Escalation-Moeglichkeit und des bestaetigten Ransomware-Einsatzes besonders kritisch. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff lokal (AV:L) mit niedriger Komplexitaet (AC:L) und niedrigen Privilegien (PR:L) durchfuehrbar ist. Vertraulichkeit (High): Nach der Rechteeskalation auf SYSTEM-Ebene kann der Angreifer auf alle Dateien und Systemressourcen zugreifen, einschliesslich Credential Stores und Active-Directory-Daten. Integritaet (High): Mit SYSTEM-Rechten kann der Angreifer beliebige Systemdateien modifizieren, Sicherheitssoftware deaktivieren und Ransomware-Payloads mit maximalen Rechten ausfuehren. Verfuegbarkeit (High): Der Ransomware-Einsatz fuehrt zur Verschluesselung von Daten und kann den gesamten Geschaeftsbetrieb lahmlegen. Der bestaetigte Ransomware-Status macht diese Schwachstelle zu einer der dringendsten Bedrohungen fuer Windows-Umgebungen.
Exploit-Reifegrad
CVE-2025-29824 weist eine sehr hohe Exploit-Reife auf und wird aktiv in Ransomware-Kampagnen eingesetzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 29. April 2025. Oeffentlich verfuegbarer Exploit-Code existiert fuer CVE-2025-29824 unter anderem bei Vicarius vSociety. Der EPSS-Score von 0.47 % (64. Perzentil) ist zwar moderat, doch der bestaetigte Ransomware-Einsatz und die KEV-Aufnahme unterstreichen die unmittelbare Bedrohung. CLFS-Schwachstellen waren in der Vergangenheit wiederholt Ziel von Exploit-Entwicklern, da der Treiber im Kernel-Kontext operiert und Privilege-Escalation-Schwachstellen besonders wertvoll fuer Angreifer sind.
Behebung
-
Microsoft-Sicherheitsupdate installieren: Wenden Sie umgehend die April-2025-Sicherheitsupdates von Microsoft an. Betroffene Windows-10-Versionen muessen auf die jeweils angegebene Build-Nummer aktualisiert werden (z.B. Windows 10 22H2 auf 10.0.19045.5737, Windows 11 24H2 auf 10.0.26100.3775).
-
Sicherheitsrichtlinien fuer CLFS verschaerfen: Beschraenken Sie Benutzerrechte auf das minimal notwendige Mass. Aktivieren Sie Windows Defender Credential Guard und konfigurieren Sie AppLocker oder Windows Defender Application Control, um die Ausfuehrung nicht autorisierter Programme zu verhindern.
-
Endpoint Detection and Response (EDR) aktivieren: Stellen Sie sicher, dass EDR-Loesungen auf allen Endpunkten aktiv sind und CLFS-spezifische Erkennungsregeln implementiert sind. Ueberwachen Sie auf ungewoehnliche Privilege-Escalation-Versuche und CLFS-Treiber-Anomalien.
-
Netzwerksegmentierung gegen Ransomware: Isolieren Sie kritische Systeme in dedizierten Netzwerksegmenten. Implementieren Sie Backup-Strategien nach der 3-2-1-Regel und testen Sie regelmaessig die Wiederherstellung.
-
Forensische Pruefung durchfuehren: Untersuchen Sie Windows-Systeme auf Anzeichen einer Kompromittierung. Pruefen Sie Windows-Eventlogs auf verdaechtige CLFS-Operationen und Privilege-Escalation-Indikatoren.
Technische Details
CVE-2025-29824 betrifft den Windows Common Log File System (CLFS) Driver, eine Kernelkomponente, die fuer die Verwaltung von Transaktionslogs zustaendig ist. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass ein lokal authentifizierter Benutzer mit niedrigen Privilegien die Schwachstelle ohne Benutzerinteraktion ausnutzen kann. Die Use-After-Free-Schwachstelle entsteht, wenn der CLFS-Treiber ein Speicherobjekt freigibt, aber den zugehoerigen Pointer nicht nullt. Ein Angreifer kann den freigegebenen Speicherbereich durch kontrollierte Allokationen erneut belegen und so die Kontrolle ueber den Programmfluss im Kernel-Kontext erlangen. Dies ermoeglicht die Eskalation von niedrigen Benutzerprivilegien auf SYSTEM-Ebene. Der Scope bleibt unveraendert (S:U), doch die SYSTEM-Rechte gewaehren dem Angreifer vollstaendige Kontrolle ueber das Windows-System. Betroffen sind saemtliche unterstuetzten Windows-Versionen von Windows 10 1507 bis Windows Server 2025.
Häufig gestellte Fragen
Wird CVE-2025-29824 aktiv ausgenutzt?
Ja, CVE-2025-29824 wird aktiv ausgenutzt und ist nachweislich in Ransomware-Kampagnen im Einsatz. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 29. April 2025.
Welche Produkte sind von CVE-2025-29824 betroffen?
Betroffen sind praktisch alle unterstuetzten Windows-Versionen: Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2) sowie Windows Server 2008, 2012, 2016, 2019, 2022, 2022 23H2 und 2025.
Wie behebe ich CVE-2025-29824?
Installieren Sie umgehend die Microsoft-Sicherheitsupdates vom April 2025. Ergaenzend sollten Sie EDR-Loesungen aktivieren, Benutzerrechte einschraenken und Backup-Strategien gegen Ransomware implementieren.
Wie schwerwiegend ist CVE-2025-29824?
Mit einem CVSS-Score von 7.8 (HIGH) und bestaetigtem Ransomware-Einsatz ist die Schwachstelle als aeusserst kritisch einzustufen. Die Kombination aus einfacher Ausnutzbarkeit und Privilege-Escalation auf SYSTEM-Ebene macht sie besonders gefaehrlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.