SecBoard
Zurück zur CVE-Übersicht

CVE-2018-8120

HIGH(7.0)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score70/100 — HOCH
  • CVSS 7 — Hoch
  • EPSS 74% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

73.7%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7

Technische Schwere

SecBoard-Einordnung

CVE-2018-8120 ist eine Elevation-of-Privilege-Schwachstelle in der Win32k-Komponente von Microsoft Windows. Sie ermöglicht es einem Angreifer, erhöhte Rechte zu erlangen, wenn die Komponente Objekte im Speicher nicht korrekt verarbeitet. Betroffen sind Windows 7, Windows Server 2008 und Windows Server 2008 R2. Die Schwachstelle wird als hochkritisch eingestuft ( 7.0) und weist eine hohe Exploit-Wahrscheinlichkeit ( 74%) auf. Besonders besorgniserregend ist, dass sie in der KEV-Datenbank gelistet ist, was bedeutet, dass sie aktiv ausgenutzt wird. Dies unterstreicht die Dringlichkeit einer sofortigen Reaktion. Security-Teams sollten umgehend alle betroffenen Windows-Systeme patchen, um diese aktiv ausgenutzte Schwachstelle zu schließen. Eine schnelle Implementierung der verfügbaren Sicherheitsupdates ist entscheidend, um das Risiko einer Kompromittierung zu minimieren und die Integrität der Systeme zu gewährleisten.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

An elevation of privilege vulnerability exists in Windows when the Win32k component fails to properly handle objects in memory, aka "Win32k Elevation of Privilege Vulnerability." This affects Windows Server 2008, Windows 7, Windows Server 2008 R2. This CVE ID is unique from CVE-2018-8124, CVE-2018-8164, CVE-2018-8166.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Ein Metasploit-Modul existiert, das die Schwachstelle ausnutzt, um beliebigen Code im Kernel-Modus auszuführen und so eine Privilegienerhöhung zu erreichen. Getestet gegen Windows 7 x86, Windows 7 x64 und Windows Server 2008 R2 standard x64.

Threat-Hunting-Queries

Die Schwachstelle ist eine Win32k NULL Pointer Dereference, die zu einer Privilegienerhöhung führt. Die Detektion sollte auf ungewöhnliche Prozessaktivitäten abzielen, die auf eine Kernel-Modus-Ausführung oder eine Privilegienerhöhung hindeuten, insbesondere auf älteren, ungepatchten Systemen. Da es sich um eine lokale Privilegienerhöhung handelt, ist die Erkennung von der Überwachung von Systemau

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "explorer.exe" or InitiatingProcessFileName =~ "winlogon.exe"
| where ProcessCommandLine contains "CVE-2018-8120" or ProcessCommandLine contains "SetImeInfoEx"
| where ProcessIntegrityLevel == "System" and InitiatingProcessIntegrityLevel != "System"
| project TimeGenerated, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, ProcessFileName, ProcessCommandLine, ProcessIntegrityLevel, InitiatingProcessIntegrityLevel, ReportId

Splunk SPL

index=windows_events (sourcetype=WinEventLog:Security OR sourcetype=WinEventLog:System OR sourcetype=WinEventLog:Microsoft-Windows-Sysmon/Operational)
| (ParentProcessName="explorer.exe" OR ParentProcessName="winlogon.exe")
| (CommandLine="*CVE-2018-8120*" OR CommandLine="*SetImeInfoEx*")
| (IntegrityLevel="System" AND ParentIntegrityLevel!="System")
| table _time, host, ParentProcessName, ParentCommandLine, ProcessName, CommandLine, IntegrityLevel, ParentIntegrityLevel

Sigma

title: Win32k_EoP_CVE_2018_8120
author: SecBoard
date: 2024/07/30
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith:
      - '\explorer.exe'
      - '\winlogon.exe'
    CommandLine|contains:
      - 'CVE-2018-8120'
      - 'SetImeInfoEx'
    IntegrityLevel: 'System'
    ParentIntegrityLevel|!contains: 'System'
  condition: selection
level: high

Elastic ES|QL

from process where
  (process.parent.executable.path : "*\\explorer.exe" or process.parent.executable.path : "*\\winlogon.exe") and
  (process.command_line : "*CVE-2018-8120*" or process.command_line : "*SetImeInfoEx*") and
  process.integrity_level : "System" and
  not process.parent.integrity_level : "System"
|
  select @timestamp, host.name, process.parent.executable.path, process.parent.command_line, process.executable.path, process.command_line, process.integrity_level, process.parent.integrity_level

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:microsoft:windows_7:-:sp1:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2008:-:sp2:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2008:r2:sp1:*:*:*:*:itanium:*
  • cpe:2.3:o:microsoft:windows_server_2008:r2:sp1:*:*:*:*:x64:*

Referenzen