CVE-2025-30400
Microsoft Windows DWM Core Library Use-After-Free Vulnerability
Beschreibung
CVE-2025-30400 ist eine Use-After-Free-Schwachstelle im Windows Desktop Window Manager (DWM) von Microsoft. Ein authentifizierter Angreifer mit niedrigen Privilegien kann diese Schwachstelle lokal ausnutzen, um seine Rechte auf dem betroffenen System zu erhoehen. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.8 (HIGH) bewertet und betrifft Windows 10 ab Version 1809, Windows 11 sowie Windows Server 2019 bis 2025.
Die CISA hat CVE-2025-30400 als aktiv ausgenutzt in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Juni 2025. Der EPSS-Score von 0.83 % (74. Perzentil) zeigt eine moderate Ausnutzungswahrscheinlichkeit an. Der Desktop Window Manager ist eine zentrale Windows-Komponente fuer die grafische Darstellung, die mit erhoehten Privilegien laeuft, was Schwachstellen in diesem Subsystem besonders attraktiv fuer Angreifer macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1809 | < 10.0.17763.7314 |
| microsoft | windows 10 21h2 | < 10.0.19044.5854 |
| microsoft | windows 10 22h2 | < 10.0.19045.5854 |
| microsoft | windows 11 22h2 | < 10.0.22621.5335 |
| microsoft | windows 11 23h2 | < 10.0.22631.5335 |
| microsoft | windows 11 24h2 | < 10.0.26100.3981 |
| microsoft | windows server 2019 | < 10.0.17763.7314 |
| microsoft | windows server 2022 | < 10.0.20348.3692 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1611 |
| microsoft | windows server 2025 | < 10.0.26100.3981 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-30400(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-30400(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CVE-2025-30400 nutzt eine Use-After-Free-Schwachstelle (CWE-416) im Windows Desktop Window Manager aus. Bei dieser Art von Schwachstelle wird auf Speicher zugegriffen, der bereits freigegeben wurde. Im DWM-Kontext kann ein Angreifer durch gezielte Manipulation der Fensterkomposition einen freigegebenen Speicherbereich erneut referenzieren und so Code mit erhoehten Privilegien ausfuehren.
Mehr erfahren: CWE-416 — Use After Free
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-30400 sind aufgrund der privilegierten Position des Desktop Window Managers im Windows-Betriebssystem erheblich. Der CVSS-Vektor zeigt einen lokalen Angriffsvektor (AV:L) mit niedriger Komplexitaet (AC:L), wobei nur niedrige Privilegien (PR:L) erforderlich sind und keine Benutzerinteraktion (UI:N) notwendig ist. Alle drei Impact-Metriken sind auf High gesetzt, was eine vollstaendige Kompromittierung von Vertraulichkeit, Integritaet und Verfuegbarkeit bedeutet. Der DWM-Prozess laeuft standardmaessig mit SYSTEM-Rechten, sodass eine erfolgreiche Ausnutzung dem Angreifer die hoechsten Privilegien auf dem System verleiht. In Kombination mit dem CVSS-Score von 7.8 (HIGH) und der bestaetigt aktiven Ausnutzung stellt diese Schwachstelle ein erhebliches Risiko fuer alle betroffenen Windows-Systeme dar.
Exploit-Reifegrad
CVE-2025-30400 weist eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Juni 2025. Obwohl in den veroeffentlichten Referenzen kein oeffentlicher Exploit-Code direkt verlinkt ist, impliziert die KEV-Aufnahme das Vorhandensein funktionsfaehiger Exploits bei Bedrohungsakteuren. Der EPSS-Score von 0.83 % (74. Perzentil) positioniert die Schwachstelle im oberen Viertel der Ausnutzungswahrscheinlichkeit. DWM-Schwachstellen sind ein bekannter Angriffsvektor, der in der Vergangenheit von Advanced Persistent Threat (APT) Gruppen fuer gezielte Angriffe genutzt wurde.
Behebung
-
Microsoft-Sicherheitsupdate umgehend installieren: Wenden Sie die kumulativen Updates vom Mai 2025 an, die im Microsoft Security Update Guide dokumentiert sind. Betroffene Versionen umfassen Windows 10 1809 und neuer, Windows 11 sowie Windows Server 2019 bis 2025.
-
Patch-Priorisierung nach Risiko: Priorisieren Sie Systeme mit direktem Benutzerzugang, insbesondere Workstations und Terminal-Server. Da der Angriff lokalen Zugang erfordert, sind Systeme mit mehreren Benutzern besonders gefaehrdet.
-
Exploit-Schutz aktivieren: Stellen Sie sicher, dass Windows Exploit Protection und Mandatory ASLR fuer den DWM-Prozess aktiviert sind. Diese Massnahmen koennen die Ausnutzung von Use-After-Free-Schwachstellen erheblich erschweren.
-
Erweiterte Ueberwachung implementieren: Konfigurieren Sie Endpoint Detection and Response (EDR) Loesungen zur Erkennung von Exploit-Versuchen gegen den DWM-Prozess. Ueberwachen Sie ungewoehnliche Speicherzugriffsmuster und Privilege-Escalation-Ereignisse.
-
Zugriffsbeschraenkungen ueberpruefen: Beschraenken Sie lokale Anmelderechte und implementieren Sie strenge Zugriffskontrollen. Reduzieren Sie die Angriffsflaeche durch Deaktivierung nicht benoetigter Dienste und Einschraenkung der Benutzerrechte.
Technische Details
CVE-2025-30400 betrifft den Windows Desktop Window Manager (DWM), der fuer die Komposition und Darstellung der grafischen Benutzeroberflaeche unter Windows verantwortlich ist. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff lokal mit niedriger Komplexitaet und niedrigen Privilegien durchfuehrbar ist. Die Use-After-Free-Schwachstelle entsteht, wenn der DWM-Prozess auf ein Objekt im Speicher zugreift, das bereits freigegeben wurde. Der DWM verwaltet komplexe Datenstrukturen fuer Fenster-Komposition, Transparenz und visuelle Effekte — durch gezielte Manipulation dieser Strukturen kann ein Angreifer einen freigegebenen Speicherbereich mit kontrollierten Daten ueberschreiben und so die Ausfuehrungskontrolle uebernehmen. Da der DWM-Prozess mit SYSTEM-Privilegien laeuft, resultiert eine erfolgreiche Ausnutzung in einer vollstaendigen Rechteausweitung. Der Scope bleibt unveraendert (S:U), da die Kompromittierung auf das lokale System beschraenkt ist.
Häufig gestellte Fragen
Wird CVE-2025-30400 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-30400 als aktiv ausgenutzt in den KEV-Katalog aufgenommen. Die Behebungsfrist ist auf den 3. Juni 2025 festgelegt. Organisationen sollten die Microsoft-Sicherheitsupdates unverzueglich einspielen.
Welche Produkte sind von CVE-2025-30400 betroffen?
CVE-2025-30400 betrifft Windows 10 ab Version 1809, Windows 11 (22H2, 23H2 und 24H2) sowie Windows Server 2019, 2022, 2022 23H2 und 2025. Aeltere Windows-Versionen vor 1809 sind nicht betroffen.
Wie behebe ich CVE-2025-30400?
Installieren Sie die kumulativen Sicherheitsupdates von Microsoft vom Mai 2025. Die spezifischen Build-Nummern sind im Microsoft Security Update Guide aufgefuehrt. Aktivieren Sie zusaetzlich Windows Exploit Protection fuer den DWM-Prozess.
Wie schwerwiegend ist CVE-2025-30400?
Mit einem CVSS-Score von 7.8 (HIGH) ermoeglicht die Schwachstelle eine vollstaendige Rechteausweitung auf SYSTEM-Ebene. Der EPSS-Score von 0.83 % im 74. Perzentil zeigt moderate Ausnutzungswahrscheinlichkeit, die KEV-Aufnahme bestaetigt jedoch die aktive Ausnutzung in freier Wildbahn.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.