SecBoard
Zurück zur CVE-Übersicht

CVE-2016-7255

HIGH(7.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Risk Signal Score74/100 — HOCH
  • CVSS 7.8 — Hoch
  • EPSS 81% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

81.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.8

Technische Schwere

SecBoard-Einordnung

CVE-2016-7255 betrifft Kernel-Modus-Treiber in verschiedenen Microsoft Windows-Versionen, einschließlich Windows 7, 8.1, 10 und Server-Varianten. Es handelt sich um eine Schwachstelle zur Privilegienerhöhung (Elevation of Privilege), die es einem lokalen Angreifer ermöglicht, über eine speziell präparierte Anwendung höhere Rechte zu erlangen. Die Schwachstelle wird auch als "Win32k Elevation of Privilege Vulnerability" bezeichnet.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

The kernel-mode drivers in Microsoft Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold and R2, Windows RT 8.1, Windows 10 Gold, 1511, and 1607, and Windows Server 2016 allow local users to gain privileges via a crafted application, aka "Win32k Elevation of Privilege Vulnerability."

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Google reported on October 31, 2016, that this vulnerability was being actively exploited in the wild.

Threat-Hunting-Queries

Detects attempts to manipulate window properties via NtSetWindowLongPtr, which could indicate an attempt to exploit CVE-2016-7255. This query is behavioral and may require tuning to reduce false positives.

Sentinel/Defender KQL

DeviceProcessEvents
| where FileName == "win32k.sys"
| where ProcessCommandLine contains "NtSetWindowLongPtr"
| where ProcessCommandLine contains "GWLP_ID"
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, ProcessCommandLine, FolderPath

Splunk SPL

index=windows sourcetype=WinEventLog:System EventCode=4688 (NewProcessName="*win32k.sys*" OR CommandLine="*NtSetWindowLongPtr*" OR CommandLine="*GWLP_ID*") | table _time, Host, ProcessName, CommandLine

Sigma

title: Win32k NtSetWindowLongPtr EoP Attempt
id: 7255b721-a1b3-4c2d-8e1f-7f8c0a1b2c3d
status: experimental
description: Detects attempts to exploit CVE-2016-7255 via NtSetWindowLongPtr manipulation.
references:
  - https://security.googleblog.com/2016/10/disclosing-vulnerabilities-to-protect.html
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\win32k.sys'
    CommandLine|contains|all:
      - 'NtSetWindowLongPtr'
      - 'GWLP_ID'
  condition: selection
fields:
  - CommandLine
  - ParentCommandLine
  - Image
level: high

Elastic ES|QL

from process where process.executable : "*win32k.sys" and process.args : "*NtSetWindowLongPtr*" and process.args : "*GWLP_ID*"

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:microsoft:windows_10_1507:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_1511:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_1607:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_7:-:sp1:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_8.1:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_rt_8.1:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2008:-:sp2:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2008:r2:sp1:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2012:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2012:r2:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2016:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_vista:-:sp2:*:*:*:*:*:*

Referenzen