Windows Kernel Pool Treiber Sicherheitslücke erlaubt Privilege Escalation

Am 14. November 2023 veröffentlichte Microsoft ein Security Advisory zu einer schweren Sicherheitslücke die den Windows Kernel Pool Teriber (clfs.sys), die es einem Angreifer ermöglichen könnte, erweiterte Berechtigungen auf einem anfälligen System zu erlangen. Am 22.3.24 wurde ein Exploit dieser Lücke als Proof of Concept auf Github veröffentlicht.

Die Schwachstelle CVE-2023-36424 besteht darin, dass der clfs.sys-Treiber Daten, die von NTFS-Reparse-Punkten kommen, nicht ordnungsgemäß validiert. Dies könnte es einem Angreifer potenziell ermöglichen, den Kernel Pool zu korrumpieren und höhere Systemprivilegien zu erlangen.

Die Schwachstelle betrifft die Version 10.0.22621.2134 des clfs.sys-Treibers (Windows 11 22H2 22621.2215). Eine bestimmte Funktion (HsmFltProcessHSMControl), die für die Verarbeitung von Cloud-Filter-FSCTLs verantwortlich ist, ruft letztendlich eine andere Funktion auf, die in der Verarbeitung unsicher ist und die Integrität des Systems gefährden kann.

Die technische Analyse zeigt, dass die Validierung innerhalb des HsmpRpValidateBuffer unzureichend ist, da sie nur die ersten 10 Datensätze überprüft. Ein Angreifer könnte diesen Mangel ausnutzen, um willkürliche Kernel-Adressen zu beschreiben und letztendlich Systemtokens in einem Zielprozess zu überschreiben.

Microsoft Windows-Nutzer sind dringend dazu aufgefordert, ihre Systeme auf die neueste Version zu aktualisieren, um sich vor möglichen Ausnutzungen dieser Schwachstelle zu schützen.

Tags :

Related Posts

Telerik Report Server: kritische Schwachstelle führt zu RCE

20.3.2024: Telerik Report Server in Versionen vor 2024 Q1 (10.0.24.130) sind von einer kritischen Schwachstelle betroffen und sollten dringend gepatcht werden. Die Schwachstelle CVE-2024-1800 (CVSS-Score: 9.9/10) wird als Remote Code Execution (RCE) klassifiziert, was bedeutet, dass ein Angreifer potenziell die vollständige Kontrolle über ein betroffenes System aus der Ferne übernehmen könnte. Die Schwachstelle ist vom Typ Insecure Deserialization, was bedeutet, dass Angreifer wahrscheinlich Payloads in das System einspielen können, ohne dass diese auf versteckte Malware und bösartigen Code geprüft werden.

Read More

Ivanti Sentry: Patch für kritische Schwachstelle veröffentlicht

in den Ivanti Standalone Sentry-Versionen bis 9.17.0, 9.18.0 und 9.19.0 wurde am 20.3.24 eine kritische Schwachstelle publik gemacht. Die Sicherheitslücke CVE-2023-41724 ermöglicht es Angreifern, aus der Ferne beliebige Befehle auf dem Betriebssystem des betroffenen Geräts auszuführen.

Read More

Fujitsu Datenpanne: Private AWS-Schlüssel und Kundenpasswörter offen im Netz

Der Sicherheitsforscher Jelle Ursem des Dutch Institute for Vulnerability Disclosure berichtete im März 2024 dem Online Magazin The Stack, dass Fujitsu private AWS-Schlüssel, Kundendaten und Klartextpasswörter fast ein Jahr lang unbemerkt öffentlich zugänglich gemacht hat. Der Vorfall ereignete sich, als Fujitsu einen öffentlichen Microsoft Azure Speichercontainer freigab, der Dateien mit persönlichen Informationen und Kundeninformationen enthielt. Der Forscher entdeckte die frei zugänglichen Daten während seiner Untersuchungen. Der Container wahr wohl zwischen März 2022 und 2023 offen im Netz zugänglich. In den Daten sind unter anderem CSV Exporte mit Passwörtern im Klartext aus der LastPass Anwendung enthalten sowie vollständige Mailbox Backups mit Kundendaten.

Read More