Microsoft Windows 10/Server 2016 Device Guard Security Feature Signature erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.8$0-$5k0.00

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in Microsoft Windows 10/Server 2016 ausgemacht. Es betrifft eine unbekannte Funktion der Komponente Device Guard Security Feature. Dank der Manipulation mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle (Signature) ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2017-11830 gelistet. Die Umsetzung des Angriffs hat dabei lokal zu erfolgen. Ferner existiert ein Exploit. Es empfiehlt sich, einen Patch einzuspielen, um dieses Problem zu beheben.

Detailsinfo

Eine Schwachstelle wurde in Microsoft Windows 10/Server 2016 (Operating System) ausgemacht. Sie wurde als kritisch eingestuft. Dies betrifft eine unbekannte Verarbeitung der Komponente Device Guard Security Feature. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (Signature) ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-254. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Entdeckung des Problems geschah am 14.11.2017. Die Schwachstelle wurde am 14.11.2017 durch James Forshaw von Google Project Zero als KB4048956 in Form eines bestätigten Security Update Guides (Website) herausgegeben. Das Advisory findet sich auf portal.msrc.microsoft.com. Die Verwundbarkeit wird seit dem 31.07.2017 mit der eindeutigen Identifikation CVE-2017-11830 gehandelt. Umgesetzt werden muss der Angriff lokal. Das Ausnutzen erfordert eine einfache Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1211 bezeichnet. Das Advisory weist darauf hin:

A security feature bypass exists when Device Guard incorrectly validates an untrusted file. An attacker who successfully exploited this vulnerability could make an unsigned file appear to be signed. Because Device Guard relies on the signature to determine the file is non-malicious, Device Guard could then allow a malicious file to execute.

Unter exploit-db.com wird der Exploit zum Download angeboten. Er wird als proof-of-concept gehandelt. Der Preis als 0-Day war auf dem Schwarzmarkt etwa $25k-$100k. Für den Vulnerability Scanner Nessus wurde am 14.11.2017 ein Plugin mit der ID 104552 (KB4048956: Windows 10 LTSB November 2017 Cumulative Update) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows : Microsoft Bulletins zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 91414 (Microsoft Windows Security Update November 2017) zur Prüfung der Schwachstelle an.

Die Schwachstelle lässt sich durch das Einspielen des Patches KB4048956 lösen. Dieser kann von catalog.update.microsoft.com bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat demzufolge sofort gehandelt.

Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (43162), Tenable (104552) und SecurityFocus (BID 101714†) dokumentiert. Die Einträge VDB-109334, VDB-109335, VDB-109336 und VDB-109337 sind sehr ähnlich. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.1

VulDB Base Score: 5.3
VulDB Temp Score: 4.8
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

Hersteller Base Score (Microsoft): 5.3
Hersteller Vector (Microsoft): 🔍

NVD Base Score: 5.3
NVD Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Name: Signature
Klasse: Erweiterte Rechte / Signature
CWE: CWE-254
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Teilweise
Lokal: Ja
Remote: Nein

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 104552
Nessus Name: KB4048956: Windows 10 LTSB November 2017 Cumulative Update
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 880598
OpenVAS Name: Microsoft Windows Multiple Vulnerabilities (KB4048956)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Patch
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Patch: KB4048956

Timelineinfo

31.07.2017 🔍
14.11.2017 +106 Tage 🔍
14.11.2017 +0 Tage 🔍
14.11.2017 +0 Tage 🔍
14.11.2017 +0 Tage 🔍
14.11.2017 +0 Tage 🔍
14.11.2017 +0 Tage 🔍
15.11.2017 +1 Tage 🔍
23.01.2021 +1165 Tage 🔍

Quelleninfo

Hersteller: microsoft.com
Produkt: microsoft.com

Advisory: KB4048956
Person: James Forshaw
Firma: Google Project Zero
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2017-11830 (🔍)
GCVE (CVE): GCVE-0-2017-11830
GCVE (VulDB): GCVE-100-109367

OVAL: 🔍

SecurityFocus: 101714 - Microsoft Windows Device Guard CVE-2017-11830 Security Bypass Vulnerability
SecurityTracker: 1039790

scip Labs: https://www.scip.ch/?labs.20161215
Siehe auch: 🔍

Eintraginfo

Erstellt: 15.11.2017 10:33
Aktualisierung: 23.01.2021 14:41
Anpassungen: 15.11.2017 10:33 (91), 06.12.2019 10:28 (10), 23.01.2021 14:41 (3)
Komplett: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!