Microsoft patcht Windows-Kernel-Bug, der seit August ausgenutzt wird

Microsoft hat zum Februar Patch-Day eine Schwachstelle gefixt, die den Windows-Kernel betrifft. Ärger gibt es um die Sicherheitslücke jetzt dennoch, denn die Experten von Avast hatten den Kernel-Fehler bereits vor über einem halben Jahr gemeldet.

Warnung kam früh

Das geht aus diversen Medienberichten hervor. Demnach hatte Avast bereits im August Microsoft mit Hinweisen kontaktiert, das die Kernel-Schwachstelle aktiv ausgenutzt wird.

Die Sicherheitslücke mit der Bezeichnung CVE-2024-21338 wurde von einem der Malware-Spezialisten bei Avast entdeckt. Der Fehler betrifft den appid.sys Windows AppLocker-Treiber. Die Sicherheitslücke betrifft sowohl Windows 10 und Windows 11 (einschließlich der neuesten Versionen) sowie Windows Server 2019 und 2022.


In den Release-Notes zum Patch-Day erklärte Microsoft, dass eine erfolgreiche Ausnutzung von CVE-2024-21338 es lokalen Angreifern ermöglicht, System-Rechte in Angriffen mit geringer Komplexität zu erlangen, die keinerlei Nutzerinteraktion erfordern.

"Um diese Sicherheitsanfälligkeit aus­zunutzen, müsste sich ein Angreifer zunächst am System anmelden. Ein Angreifer könnte dann eine speziell gestaltete Anwendung ausführen, die die Sicherheits­lücke ausnutzt und die Kontrolle über ein betroffenes System übernimmt", heißt es in der Erläuter­ung. Da die Schwachstelle nicht für sich allein aus der Ferne ausgenutzt werden kann, hatte es wohl keine Priorität, die Sicherheits­lücke zu fixen.

Das Unternehmen hat die Schwachstelle daher erst mit den Updates vom 13. Februar gepatcht und den Hinweis am Mittwoch, den 28. Februar, aktualisiert, um zu bestätigen, dass CVE-2024-21338 in freier Wildbahn ausgenutzt wurde. Von Microsoft bestätigte Details zu diesen Angriffen gibt es bisher aber nicht.

Lazarus nutzt die Schwachstelle seit Monaten

Avast hingegen meldet jetzt, dass Hacker der nordkoreanischen Lazarus-Gruppe die Schwachstelle mindestens seit August 2023 in Angriffen ausnutzen, um Zugriff auf die Kernel-Ebene zu erlangen und Sicherheitstools auszuschalten.

"Aus der Sicht des Angreifers eröffnet der Übergang von der Administrator- zur Kernel-Ebene ganz neue Möglichkeiten. Mit dem Zugriff auf die Kernel-Ebene kann ein Angreifer die Sicher­heits­software stören, Indikatoren für eine Infektion verbergen (einschließlich Dateien, Netzwerkaktivitäten, Prozesse usw.), die Telemetrie im Kernel-Modus deaktivieren, Abhilfe­maßnahmen abschalten und vieles mehr", erklärt Avast.

Windows-Nutzern wird daher dringend empfohlen, die Updates so schnell wie möglich zu installieren, um Angriffe zu blockieren.


Siehe auch: