CVE-2025-59230
Microsoft Windows Improper Access Control Vulnerability
Beschreibung
CVE-2025-59230 ist eine schwerwiegende Schwachstelle im Windows Remote Access Connection Manager (RASMAN), die durch eine unsachgemaesse Zugriffssteuerung (Improper Access Control) verursacht wird. Ein lokal authentifizierter Angreifer kann diese Sicherheitsluecke ausnutzen, um seine Berechtigungen auf dem System zu erweitern. Mit einem CVSS-Score von 7.8 (HIGH) und einer EPSS-Wahrscheinlichkeit von 8,48 % (92,2. Perzentil) stellt sie ein erhebliches Sicherheitsrisiko dar. Die Schwachstelle ist im CISA KEV-Katalog gelistet, was auf aktive Ausnutzung hinweist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.21161 |
| microsoft | windows 10 1607 | < 10.0.14393.8519 |
| microsoft | windows 10 1809 | < 10.0.17763.7919 |
| microsoft | windows 10 21h2 | < 10.0.19044.6456 |
| microsoft | windows 10 22h2 | < 10.0.19045.6456 |
| microsoft | windows 11 22h2 | < 10.0.22621.6060 |
| microsoft | windows 11 23h2 | <= 10.0.22631.6060 |
| microsoft | windows 11 24h2 | < 10.0.26100.6899 |
| microsoft | windows 11 25h2 | < 10.0.26200.6899 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | <= 10.0.14393.8519 |
| microsoft | windows server 2019 | < 10.0.17763.7919 |
| microsoft | windows server 2022 | < 10.0.20348.4294 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1913 |
| microsoft | windows server 2025 | <= 10.0.26100.6899 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59230(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-59230-detection-script-elevation-of-privilege-vulnerability-affecting-windows-rasman(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-59230-mitigation-script-elevation-of-privilege-vulnerability-affecting-windows-rasman(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-59230(US Government Resource)
Schwachstellentyp
CWE-284: Improper Access Control
CWE-284 beschreibt eine Schwachstelle, bei der ein System die Zugriffsberechtigungen nicht korrekt durchsetzt, sodass unautorisierte Akteure auf geschuetzte Ressourcen zugreifen oder Aktionen ausfuehren koennen, die ihnen nicht zustehen. Im Kontext von CVE-2025-59230 bedeutet dies, dass der Windows Remote Access Connection Manager unzureichende Berechtigungspruefungen durchfuehrt, wodurch ein Angreifer mit niedrigen Berechtigungen Aktionen ausfuehren kann, die normalerweise Administratorrechte erfordern. Diese Schwachstellenklasse ist besonders gefaehrlich, da sie haeufig eine direkte Rechteeskalation ermoeglicht.
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-59230 sind erheblich und betreffen alle drei Sicherheitsziele gleichermassen. Vertraulichkeit (HIGH) -- ein Angreifer kann nach erfolgreicher Exploitation auf vertrauliche Systemdaten und Zugangsdaten zugreifen, die normalerweise nur Administratoren zugaenglich sind. Integritaet (HIGH) -- die Moeglichkeit, Systemkonfigurationen und geschuetzte Dateien zu manipulieren, eroeffnet weitreichende Angriffsvektoren, einschliesslich der Installation von Backdoors oder Malware. Verfuegbarkeit (HIGH) -- ein Angreifer kann kritische Systemdienste stoeren oder das System vollstaendig lahmlegen. Da der Remote Access Connection Manager ein zentraler Windows-Systemdienst ist, der VPN-Verbindungen und Remote-Zugriff verwaltet, betrifft die Schwachstelle potentiell alle Windows-Systeme in Unternehmensnetzwerken. Die EPSS-Bewertung von 8,48 % im 92,2. Perzentil zeigt ein deutlich ueberdurchschnittliches Ausnutzungsrisiko. Der KEV-Eintrag mit Frist bis 04.11.2025 bestaetigt die aktive Bedrohungslage. Der Ransomware-Status ist als Unknown eingestuft.
Exploit-Reifegrad
CVE-2025-59230 ist im CISA Known Exploited Vulnerabilities (KEV) Katalog aufgefuehrt, was die aktive Ausnutzung in realen Angriffsszenarien bestaetigt. Die Behebungsfrist ist auf den 04.11.2025 gesetzt. Die EPSS-Bewertung von 8,48 % (92,2. Perzentil) unterstreicht, dass diese Schwachstelle zu den am wahrscheinlichsten ausgenutzten Sicherheitsluecken gehoert. Oeffentlich verfuegbare Erkennungs- und Mitigationsskripte sind ueber Vicarius vSociety (Erkennung) und Vicarius vSociety (Mitigation) zugaenglich. Obwohl der Ransomware-Missbrauch bisher nicht bestaetigt ist, sollte die Schwachstelle aufgrund der KEV-Listung und der hohen EPSS-Bewertung mit hoechster Dringlichkeit behandelt werden.
Behebung
-
Kumulative Sicherheitsupdates installieren: Installieren Sie umgehend die neuesten kumulativen Sicherheitsupdates von Microsoft fuer alle betroffenen Windows-Versionen. Betroffen sind Windows 10 (1507 bis 22H2) und Windows 11 (22H2 bis 24H2). Pruefen Sie die spezifischen Versionsnummern im Microsoft Security Update Guide.
-
Remote Access Connection Manager-Dienst einschraenken: Falls das Update nicht sofort eingespielt werden kann, pruefen Sie, ob der RASMAN-Dienst auf betroffenen Systemen deaktiviert oder eingeschraenkt werden kann, sofern keine VPN- oder Remote-Access-Funktionalitaet benoetigt wird. Beachten Sie, dass dies die Remote-Zugriffsfaehigkeiten des Systems einschraenkt.
-
Berechtigungen ueberpruefen und minimieren: Wenden Sie das Prinzip der minimalen Berechtigungen konsequent an. Stellen Sie sicher, dass Benutzerkonten nur die fuer ihre Aufgaben notwendigen Rechte besitzen. Reduzieren Sie die Anzahl lokaler Administratorkonten.
-
Systeme auf verdaechtige Aktivitaeten ueberwachen: Ueberwachen Sie Windows-Ereignisprotokolle auf ungewoehnliche Zugriffe auf den RASMAN-Dienst, unerwartete Rechteeskalationen und verdaechtige Prozesse mit erhoehten Berechtigungen. Setzen Sie die verfuegbaren Erkennungsskripte von Vicarius ein.
-
CISA-KEV-Frist einhalten: Stellen Sie sicher, dass alle betroffenen Systeme bis zum 04.11.2025 gepatcht sind, um die CISA-Anforderungen zu erfuellen und das Risiko aktiver Ausnutzung zu minimieren.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H ergibt einen Score von 7.8 (HIGH). Die einzelnen Metriken bedeuten: Angriffsvektor (AV:L) -- der Angriff erfordert lokalen Zugang zum Zielsystem, etwa ueber eine interaktive Anmeldung, RDP-Sitzung oder ein kompromittiertes Benutzerkonto. Angriffskomplexitaet (AC:L) -- die Ausnutzung ist technisch unkompliziert und erfordert keine speziellen Rahmenbedingungen oder Race Conditions. Erforderliche Berechtigungen (PR:L) -- ein regulaeres Benutzerkonto ohne Administratorrechte reicht aus. Benutzerinteraktion (UI:N) -- keine Mitwirkung eines anderen Benutzers ist erforderlich. Scope (S:U) -- die Auswirkungen sind auf die verwundbare Komponente beschraenkt. Der Windows Remote Access Connection Manager (RASMAN) ist ein Systemdienst, der fuer die Verwaltung von VPN-Verbindungen und DFUe-Netzwerkverbindungen zustaendig ist. Die Schwachstelle liegt in einer fehlerhaften Zugriffssteuerung innerhalb des Dienstes: Bestimmte Operationen, die nur privilegierten Konten vorbehalten sein sollten, koennen von Benutzern mit niedrigen Berechtigungen ausgefuehrt werden. Ein Angreifer kann diese mangelhafte Zugriffskontrolle ausnutzen, um Befehle oder Code im Kontext des RASMAN-Dienstes auszufuehren, der typischerweise mit SYSTEM-Berechtigungen laeuft, und so eine vollstaendige Rechteeskalation zu erreichen.
Häufig gestellte Fragen
Was ist CVE-2025-59230 und warum ist sie gefaehrlich?
CVE-2025-59230 ist eine Schwachstelle im Windows Remote Access Connection Manager (RASMAN), die eine Rechteeskalation ermoeglicht. Sie ist besonders gefaehrlich, weil sie aktiv in freier Wildbahn ausgenutzt wird (KEV-gelistet), nur ein regulaeres Benutzerkonto erfordert und die Angriffskomplexitaet niedrig ist.
Welche Windows-Versionen sind betroffen?
Betroffen sind Windows 10 in den Versionen 1507, 1607, 1809, 21H2 und 22H2 sowie Windows 11 in den Versionen 22H2, 23H2 und 24H2. Die genauen Versionsnummern, ab denen der Patch enthalten ist, koennen dem Microsoft Security Update Guide entnommen werden.
Kann ich den RASMAN-Dienst als Workaround deaktivieren?
Das Deaktivieren des RASMAN-Dienstes kann als temporaerer Workaround dienen, wenn kein VPN- oder Remote-Zugriff benoetigt wird. Beachten Sie jedoch, dass dadurch alle VPN-Verbindungen und DFUe-Netzwerkverbindungen auf dem System nicht mehr funktionieren. Der dauerhafte Fix ist die Installation des Sicherheitsupdates.
Wird CVE-2025-59230 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist derzeit als Unknown klassifiziert. Obwohl ein direkter Zusammenhang mit Ransomware-Kampagnen bisher nicht bestaetigt ist, macht die Art der Schwachstelle (lokale Rechteeskalation) sie zu einem attraktiven Werkzeug in der Post-Exploitation-Phase von Ransomware-Angriffen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.