CVE-2025-62215
Microsoft Windows Race Condition Vulnerability
Beschreibung
CVE-2025-62215 ist eine Privilege-Escalation-Schwachstelle im Windows-Kernel von Microsoft, die auf einer Race Condition (CWE-362) und einem Double-Free-Fehler (CWE-415) basiert. Ein lokal authentifizierter Angreifer mit niedrigen Privilegien kann diese Schwachstelle ausnutzen, um erhoehte Berechtigungen auf dem System zu erlangen. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.0 (HIGH) bewertet.
Die CISA hat CVE-2025-62215 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Dezember 2025. Der EPSS-Score von 0.52 % (66.3. Perzentil) ist moderat, was darauf hindeutet, dass die Ausnutzung zwar beobachtet wurde, aber aufgrund der hohen Angriffskomplexitaet (AC:H) nicht trivial ist. Betroffen sind zahlreiche Windows-Versionen einschliesslich Windows 10, Windows 11 und Windows Server.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1809 | < 10.0.17763.8027 |
| microsoft | windows 10 21h2 | < 10.0.19044.6575 |
| microsoft | windows 10 22h2 | < 10.0.19045.6575 |
| microsoft | windows 11 23h2 | < 10.0.22631.6199 |
| microsoft | windows 11 24h2 | < 10.0.26100.7092 |
| microsoft | windows 11 25h2 | < 10.0.26200.7092 |
| microsoft | windows server 2019 | < 10.0.17763.8027 |
| microsoft | windows server 2022 | < 10.0.20348.4346 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1965 |
| microsoft | windows server 2025 | < 10.0.26100.7092 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-62215(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-62215(US Government Resource)
Schwachstellentyp
CWE-362: Race Condition
Die primaere Schwachstellenklasse von CVE-2025-62215 ist CWE-362 (Race Condition). Eine Race Condition entsteht, wenn mehrere Threads oder Prozesse gleichzeitig auf eine gemeinsam genutzte Ressource zugreifen und das Ergebnis von der zeitlichen Reihenfolge der Zugriffe abhaengt. Im Windows-Kernel kann dies zu Speicherbeschaedigungen fuehren, wenn Synchronisierungsmechanismen unzureichend implementiert sind.
CWE-415: Double Free
Die zweite zugeordnete Schwachstellenklasse ist CWE-415 (Double Free). Ein Double Free tritt auf, wenn ein Speicherbereich zweimal freigegeben wird, was zu undefiniertem Verhalten fuehrt. In Kombination mit der Race Condition kann ein Angreifer das Timing so manipulieren, dass ein Kernel-Objekt doppelt freigegeben wird, was die Ausfuehrung von beliebigem Code mit Kernel-Privilegien ermoeglicht. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-62215 betreffen die lokale Sicherheit von Windows-Systemen und koennen zur vollstaendigen Systemuebernahme fuehren. Vertraulichkeit: Ein Angreifer, der die Privilege Escalation erfolgreich ausnutzt, erhaelt Zugriff auf saemtliche Daten des Systems, einschliesslich geschuetzter Systembereiche, Zugangsdaten anderer Benutzer und verschluesselter Inhalte. In Unternehmensumgebungen kann dies den Zugriff auf sensible Geschaeftsdaten, Active-Directory-Credentials und Kerberos-Tickets bedeuten.
Integritaet: Mit erhoehten Privilegien kann der Angreifer Systemdateien modifizieren, Sicherheitsmechanismen deaktivieren, Rootkits installieren und die Systemkonfiguration veraendern. Die Manipulation auf Kernel-Ebene ermoeglicht besonders persistente und schwer erkennbare Kompromittierungen.
Verfuegbarkeit: Der Angreifer kann das System destabilisieren, Dienste stoppen oder das Betriebssystem durch Manipulation von Kernel-Strukturen zum Absturz bringen. In Serverumgebungen kann dies zu erheblichen Ausfallzeiten fuehren.
Der moderate EPSS-Score von 0.52 % spiegelt die hohe Angriffskomplexitaet (AC:H) wider -- die Race Condition muss praezise getriggert werden. Dennoch bestaetigt die KEV-Aufnahme die aktive Ausnutzung. Der Ransomware-Status ist als Unknown klassifiziert, jedoch sind Kernel-Privilege-Escalation-Schwachstellen ein gaengiger Baustein in Ransomware-Angriffsketten.
Exploit-Reifegrad
CVE-2025-62215 weist trotz der hohen Angriffskomplexitaet eine bestaetigt aktive Ausnutzung auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 3. Dezember 2025. Der EPSS-Score von 0.52 % (66.3. Perzentil) ist fuer eine Kernel-Schwachstelle moderat, was die technische Schwierigkeit der Ausnutzung widerspiegelt.
Microsoft hat in seinem Security Update Guide die Schwachstelle dokumentiert und Patches bereitgestellt. Die Tatsache, dass die Schwachstelle trotz der hohen Komplexitaet aktiv ausgenutzt wird, deutet darauf hin, dass fortgeschrittene Bedrohungsakteure zuverlaessige Exploit-Techniken entwickelt haben.
Kernel-Race-Conditions in Kombination mit Double-Free-Fehlern erfordern typischerweise spezialisiertes Wissen ueber Kernel-Speicherverwaltung und Timing-Manipulation. Die aktive Ausnutzung in freier Wildbahn zeigt, dass entsprechende Exploit-Capabilities existieren. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Microsoft-Sicherheitsupdates installieren: Installieren Sie umgehend die von Microsoft bereitgestellten Sicherheitsupdates ueber Windows Update oder WSUS. Betroffene Versionen: Windows 10 1809 (vor 10.0.17763.8027), Windows 10 21H2/22H2 (vor 10.0.19044.6575 bzw. 10.0.19045.6575), Windows 11 23H2 (vor 10.0.22631.6199), Windows 11 24H2 (vor 10.0.26100.7092), Windows 11 25H2 (vor 10.0.26200.7092), Windows Server 2019 (vor 10.0.17763.8027) und Windows Server 2022 (vor 10.0.20348.4346).
-
Patch-Priorisierung nach Exposition: Priorisieren Sie das Patching von Systemen, die einem erhoehten Risiko ausgesetzt sind -- insbesondere Systeme mit mehreren lokalen Benutzern, Terminal-Server, Citrix-Umgebungen und Entwicklerworkstations. Da ein lokaler Zugang mit niedrigen Privilegien genuegt, sind Systeme mit vielen Benutzern besonders gefaehrdet.
-
Least-Privilege-Prinzip durchsetzen: Ueberpruefen Sie die lokalen Benutzerrechte auf allen betroffenen Systemen und stellen Sie sicher, dass Benutzer nur die minimal notwendigen Berechtigungen besitzen. Entfernen Sie unnoetige lokale Administratorrechte und beschraenken Sie den Zugang zu sensiblen Systemen.
-
Endpoint Detection and Response ueberwachen: Konfigurieren Sie EDR-Loesungen so, dass verdaechtige Kernel-Aktivitaeten erkannt werden. Achten Sie auf ungewoehnliche Privilege-Escalation-Versuche, verdaechtige Prozesserstellungen mit erhoehten Rechten und Anomalien in der Kernel-Speichernutzung.
-
Netzwerksegmentierung ueberpruefen: Begrenzen Sie die laterale Bewegungsfreiheit im Netzwerk, sodass eine lokale Kompromittierung nicht unmittelbar zur Uebernahme weiterer Systeme fuehrt. Implementieren Sie Mikrosegmentierung und ueberwachen Sie ungewoehnliche Authentifizierungsversuche.
Technische Details
CVE-2025-62215 betrifft den Windows-Kernel in zahlreichen Windows-Versionen. Der CVSS-Vektor CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt einen lokalen Angriff (AV:L) mit hoher Komplexitaet (AC:H), der niedrige Privilegien (PR:L) erfordert und keine Benutzerinteraktion (UI:N) benoetigt.
Die Schwachstelle basiert auf einer Race Condition im Windows-Kernel, die zu einem Double-Free-Fehler fuehrt. Bei gleichzeitigem Zugriff mehrerer Threads auf eine gemeinsam genutzte Kernel-Ressource kann durch praezises Timing eine Situation herbeiefuehrt werden, in der ein Kernel-Objekt doppelt freigegeben wird. Der daraus resultierende Use-after-Free-Zustand ermoeglicht es dem Angreifer, den freigegebenen Speicher mit kontrollierten Daten zu ueberschreiben und beliebigen Code mit Kernel-Privilegien auszufuehren.
Die hohe Angriffskomplexitaet (AC:H) ergibt sich aus der Notwendigkeit, das Timing der Race Condition praezise zu kontrollieren. Der Angreifer muss die gleichzeitige Ausfuehrung so orchestrieren, dass die Freigabe und Wiederverwendung des Speicherbereichs in der gewuenschten Reihenfolge erfolgt. Der Scope bleibt unveraendert (S:U), da die Auswirkungen auf die Kernel-Komponente beschraenkt bleiben -- allerdings bedeutet Kernel-Zugriff in der Praxis die vollstaendige Kontrolle ueber das Betriebssystem.
Die breite Liste betroffener Versionen -- von Windows 10 1809 ueber Windows 11 25H2 bis Windows Server 2022 -- zeigt, dass der verwundbare Code tief im Kernel verankert und ueber viele Release-Zyklen hinweg vorhanden ist.
Häufig gestellte Fragen
Welche Windows-Versionen sind von CVE-2025-62215 betroffen?
Betroffen sind Windows 10 1809, Windows 10 21H2, Windows 10 22H2, Windows 11 23H2, Windows 11 24H2, Windows 11 25H2, Windows Server 2019 und Windows Server 2022. Die genauen Build-Nummern der gepatchten Versionen sind im Microsoft Security Update Guide dokumentiert.
Kann CVE-2025-62215 remote ausgenutzt werden?
Nein, die Schwachstelle erfordert lokalen Zugriff (AV:L) mit einem authentifizierten Benutzerkonto. Ein Angreifer muss bereits auf dem Zielsystem angemeldet sein oder Code lokal ausfuehren koennen. In der Praxis wird diese Schwachstelle daher oft als zweite Stufe in einer Angriffskette eingesetzt.
Warum ist die Schwachstelle im KEV-Katalog, obwohl der EPSS-Score moderat ist?
Der moderate EPSS-Score von 0.52 % spiegelt die hohe technische Komplexitaet (AC:H) wider. Die KEV-Aufnahme bestaetigt jedoch, dass fortgeschrittene Angreifer zuverlaessige Exploits entwickelt haben. Die Diskrepanz zeigt, dass die Schwachstelle gezielt von spezialisierten Bedrohungsakteuren ausgenutzt wird, nicht in breiten Massenangriffen.
Wie kann ich pruefen, ob mein System gepatcht ist?
Pruefen Sie die Windows-Build-Nummer ueber Einstellungen > System > Info. Vergleichen Sie die angezeigte Build-Nummer mit den gepatchten Versionen im Microsoft Security Update Guide. Alternativ koennen Sie in der Update-Historik pruefen, ob das entsprechende Sicherheitsupdate installiert wurde.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.