SecBoard
Zurück zur CVE-Übersicht

CVE-2021-40444

HIGH(8.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:L

Risk Signal Score81/100 — KRITISCH
  • CVSS 8.8 — Hoch
  • EPSS 97% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

97.5%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

8.8

Technische Schwere

SecBoard-Einordnung

CVE-2021-40444 ist eine () Schwachstelle in MSHTML, die Microsoft Windows betrifft. Ein Angreifer kann diese Schwachstelle ausnutzen, indem er speziell präparierte Microsoft Office-Dokumente verwendet, die ein bösartiges ActiveX-Steuerelement hosten. Die erfolgreiche Ausnutzung kann zur Ausführung von beliebigem Code auf dem betroffenen System führen, wenn ein Benutzer ein solches Dokument öffnet.

Die Schwachstelle wird als hochkritisch eingestuft, mit einem CVSS-Score von 8.8 und einer EPSS-Wahrscheinlichkeit von 97%. Sie ist zudem in CISAs () Katalog gelistet, was bedeutet, dass sie aktiv ausgenutzt wird. Dies unterstreicht die Dringlichkeit der Bedrohung und das hohe Risiko für betroffene Systeme.

Security-Teams sollten umgehend sicherstellen, dass ihre Antimalware-Produkte, insbesondere Microsoft Defender Antivirus und Microsoft Defender for Endpoint, auf dem neuesten Stand sind (Build 1.349.22.0 oder neuer). Da die Schwachstelle aktiv ausgenutzt wird, ist eine schnelle Reaktion zur Minderung des Risikos unerlässlich. Zusätzliche Wachsamkeit bei der Überwachung von Endpunkten auf verdächtige Aktivitäten, insbesondere im Zusammenhang mit Office-Dokumenten, ist ebenfalls ratsam.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Microsoft is investigating reports of a remote code execution vulnerability in MSHTML that affects Microsoft Windows. Microsoft is aware of targeted attacks that attempt to exploit this vulnerability by using specially-crafted Microsoft Office documents. An attacker could craft a malicious ActiveX control to be used by a Microsoft Office document that hosts the browser rendering engine. The attacker would then have to convince the user to open the malicious document. Users whose accounts are configured to have fewer user rights on the system could be less impacted than users who operate with administrative user rights. Microsoft Defender Antivirus and Microsoft Defender for Endpoint both provide detection and protections for the known vulnerability. Customers should keep antimalware products up to date. Customers who utilize automatic updates do not need to take additional action. Enterprise customers who manage updates should select the detection build 1.349.22.0 or newer and deploy it across their environments. Microsoft Defender for Endpoint alerts will be displayed as: “Suspicious Cpl File Execution”. Upon completion of this investigation, Microsoft will take the appropriate action to help protect our customers. This may include providing a security update through our monthly release process or providing an out-of-cycle security update, depending on customer needs. Please see the Mitigations and Workaround sections for important information about steps you can take to protect your system from this vulnerability. UPDATE September 14, 2021: Microsoft has released security updates to address this vulnerability. Please see the Security Updates table for the applicable update for your system. We recommend that you install these updates immediately. Please see the FAQ for important information about which updates are applicable to your system.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Microsoft ist sich gezielter Angriffe bewusst, die versuchen, diese Schwachstelle mithilfe speziell präparierter Microsoft Office-Dokumente auszunutzen. Die Schwachstelle ermöglicht Remote Code Execution.

Threat-Hunting-Queries

Die Schwachstelle betrifft MSHTML, das in Microsoft Office-Dokumenten gehostet wird. Die Erkennung konzentriert sich auf die Ausführung von externen Prozessen durch Office-Anwendungen, insbesondere wenn diese Prozesse ungewöhnlich sind oder Netzwerkverbindungen aufbauen.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName in~ ("winword.exe", "excel.exe", "powerpnt.exe", "outlook.exe")
| where FileName !in~ ("conhost.exe", "explorer.exe", "cmd.exe", "powershell.exe") // Filter out common benign child processes if they don't lead to further suspicious activity
| where ProcessCommandLine has_any ("http", "https", "ftp", "smb") or RemoteIP != "" or RemotePort != ""
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, RemoteIP, RemotePort, InitiatingProcessParentFileName, InitiatingProcessCommandLine
| extend ThreatType = "CVE-2021-40444 Potential Exploitation"
| summarize by ThreatType, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, RemoteIP, RemotePort, InitiatingProcessParentFileName, InitiatingProcessCommandLine, bin(Timestamp, 1h)

Splunk SPL

index=your_endpoint_index (ParentProcessName=winword.exe OR ParentProcessName=excel.exe OR ParentProcessName=powerpnt.exe OR ParentProcessName=outlook.exe) NOT (ProcessName=conhost.exe OR ProcessName=explorer.exe OR ProcessName=cmd.exe OR ProcessName=powershell.exe) (CommandLine=*http* OR CommandLine=*https* OR CommandLine=*ftp* OR CommandLine=*smb* OR dest_ip=* OR dest_port=*)
| table _time, host, ParentProcessName, ProcessName, CommandLine, dest_ip, dest_port

Sigma

title: CVE-2021-40444 MSHTML RCE via Office
author: SecBoard
date: 2023/10/27
modified: 2023/10/27
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith:
      - '\WINWORD.EXE'
      - '\EXCEL.EXE'
      - '\POWERPNT.EXE'
      - '\OUTLOOK.EXE'
  filter:
    Image|endswith:
      - '\conhost.exe'
      - '\explorer.exe'
      - '\cmd.exe'
      - '\powershell.exe'
  condition: selection and not filter
  # Further refinement for network connections or suspicious command line arguments would be beneficial
  # Example: CommandLine|contains: ['http', 'https', 'ftp', 'smb']
level: high

Elastic ES|QL

from process where event.category == "process" and event.type == "start" and
  (process.parent.executable : ("winword.exe", "excel.exe", "powerpnt.exe", "outlook.exe")) and
  not (process.executable : ("conhost.exe", "explorer.exe", "cmd.exe", "powershell.exe")) and
  (process.args : ("*http*", "*https*", "*ftp*", "*smb*") or network.direction == "outbound")
| select @timestamp, host.name, process.parent.executable, process.executable, process.command_line, network.remote.ip, network.remote.port

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:microsoft:windows_10_1507:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_1909:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_2004:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_20h2:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_21h1:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_7:-:sp1:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_8.1:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_rt_8.1:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2004:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2008:-:sp2:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2008:r2:sp1:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_server_2012:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2012:-:r2:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2016:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2019:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2022:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_20h2:*:*:*:*:*:*:*:*

Referenzen