CVE-2022-30190

Anleitung für die Microsoft Support Diagnostic Tool-Schwachstelle CVE-2022-30190 MSRC / Von msrc / 30. Mai 2022 Am Montag, den 30. Mai 2022, hat Microsoft CVE-2022-30190 bezüglich der Sicherheitslücke im Microsoft Support Diagnostic Tool (MSDT) in Windows veröffentlicht.

Eine Schwachstelle bezüglich der Ausführung von Remotecode besteht, wenn MSDT über das URL-Protokoll von einer aufrufenden Anwendung wie Word aufgerufen wird. Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, kann beliebigen Code mit den Berechtigungen der aufrufenden Anwendung ausführen. Der Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten im Rahmen der Benutzerrechte erstellen.

Problemumgehungen So deaktivieren Sie das MSDT-URL-Protokoll

Das Deaktivieren des MSDT-URL-Protokolls verhindert, dass Problembehandlungen als Links gestartet werden, einschließlich Links im gesamten Betriebssystem. Auf Problembehandlungen kann weiterhin über die App „Get Help“ (Hilfe abrufen) und in den Systemeinstellungen als andere oder zusätzliche Problembehandlungen zugegriffen werden. Führen Sie die folgenden Schritte aus, um die Funktion zu deaktivieren:

Führen Sie die Eingabeaufforderung als Administrator aus. Führen Sie zum Sichern des Registrierungsschlüssels den Befehl „reg export HKEY_CLASSES_ROOT\ms-msdt filename“ aus. Führen Sie den Befehl „reg delete HKEY_CLASSES_ROOT\ms-msdt /f“ aus. So machen Sie die Problemumgehung rückgängig

Führen Sie die Eingabeaufforderung als Administrator aus. Führen Sie zum Wiederherstellen des Registrierungsschlüssels den Befehl „reg import filename“ aus. Microsoft Defender-Erkennungen und -Schutzmaßnahmen Microsoft Defender Antivirus (MDAV) Microsoft Defender Antivirus bietet Erkennungen und Schutz vor möglicher Ausnutzung von Schwachstellen unter den folgenden Signaturen mit Erkennungsbuild 1.367.851.0 oder höher:

Trojan:Win32/Mesdetty.A (blockiert die msdt-Befehlszeile) Trojan:Win32/Mesdetty.B (blockiert die msdt-Befehlszeile) Behavior:Win32/MesdettyLaunch.A!blk (beendet den Prozess, der die msdt-Befehlszeile gestartet hat) Trojan:Win32/MesdettyScript.A (erkennt HTML-Dateien, die einen verdächtigen msdt-Befehl enthalten, der abgelegt wird) Trojan:Win32/MesdettyScript.B (erkennt HTML-Dateien, die einen verdächtigen msdt-Befehl enthalten, der abgelegt wird) Kunden mit Microsoft Defender Antivirus (MDAV) sollten den cloudbasierten Schutz und die automatische Beispielübermittlung aktivieren. Diese Funktionen nutzen künstliche Intelligenz und maschinelles Lernen, um neue und unbekannte Bedrohungen schnell zu identifizieren und zu stoppen.

Microsoft Defender for Endpoint (MDE) Microsoft Defender for Endpoint bietet Kunden Erkennungen und Warnungen. Der folgende Warnungstitel im Microsoft-365-Defender-Portal kann auf Bedrohungsaktivitäten in Ihrem Netzwerk hinweisen:

Verdächtiges Verhalten durch eine Office-Anwendung Verdächtiges Verhalten durch Msdt.exe Kunden von Microsoft Defender for Endpoint (MDE) können die Regel zur Verringerung der Angriffsfläche „Block all Office applications from creating child processes“ (Alle Office-Anwendungen am Erstellen untergeordneter Prozesse hindern) mit der GUID: d4f940ab-401b-4efc-aadc-ad5f3c50688a aktivieren, die Office-Apps daran hindert, untergeordnete Prozesse zu erstellen. Das Erstellen bösartiger untergeordneter Prozesse ist eine gängige Malware-Strategie. Weitere Informationen finden Sie unter der ASR-Regel „Block all Office applications from creating child processes“.

Microsoft Defender for Office 365 (MDO) Microsoft Defender for Office 365 bietet Erkennungen und Schutz für E-Mails, die bösartige Dokumente oder URLs enthalten, die zur Ausnutzung dieser Schwachstelle verwendet werden:

Trojan_DOCX_OLEAnomaly_AC Trojan_DOCX_OLEAnomaly_AD Trojan_DOCX_OLEAnomaly_AE Trojan_DOCX_OLEAnomaly_AF Exploit_UIA_CVE_2022_30190 Exploit_CVE_2022_30190_ShellExec Exploit_HTML_CVE_2022_30190_A Exploit_Win32_CVE_2022_30190_B FAQ F: Bieten Geschützte Ansicht und Application Guard für Office Schutz vor dieser Schwachstelle?

A: Wenn die aufrufende Anwendung eine Microsoft-Office-Anwendung ist, öffnet Microsoft Office standardmäßig Dokumente aus dem Internet in der Geschützten Ansicht oder in Application Guard für Office, die beide den aktuellen Angriff verhindern.

Informationen zur Geschützten Ansicht finden Sie unter Was ist die Geschützte Ansicht? Informationen zu Application Guard für Office finden Sie unter Application Guard für Office. F: Ist das Konfigurieren der GPO-Einstellung Computerkonfiguration\Administrative Vorlagen\System\Problembehandlung und Diagnose\Microsoft Support Diagnostic Tool\„Microsoft Support Diagnostic Tool: MSDT-interaktive Kommunikation mit dem Supportanbieter aktivieren“ auf „Deaktiviert“ eine weitere Problemumgehung?

Registrierungshive: HKEY_LOCAL_MACHINE Registrierungspfad: \Software\Policies\Microsoft\Windows\ScriptedDiagnosticsProvider\Policy
Wertname: DisableQueryRemoteServer Typ: REG_DWORD Wert: 0

A: Nein, diese GPO bietet keinen Schutz vor dieser Schwachstelle. „Interaktive Kommunikation mit dem Supportanbieter“ ist ein spezieller Modus, in dem MSDT ausgeführt wird, wenn es ohne Parameter gestartet wird. Dieser hat keine Auswirkungen auf die MSDT-Unterstützung für das URL-Protokoll.

F: Ist das Konfigurieren der GPO-Einstellung Computerkonfiguration – Administrative Vorlagen – System – Problembehandlung und Diagnose – Microsoft Support Diagnostic Tool\„Problembehandlung: Benutzern den Zugriff auf empfohlene Problembehandlungen für bekannte Probleme erlauben“ auf „Deaktiviert“ eine weitere Problemumgehung?

A: Nein, das Aktivieren oder Deaktivieren dieser Gruppenrichtlinie hat keine Auswirkung auf den anfälligen Teil der Problembehandlungsfunktionalität und ist daher keine brauchbare Problemumgehung.

F: Ist das Blockieren von MSDT mithilfe von Technologien wie Windows Defender Application Control (WDAC) gleichwertig mit dem Entfernen des MSDT-Handlers „HKEY_CLASSES_ROOT\ms-msdt“ eine brauchbare Problemumgehung?

A: Das Blockieren von MSDT verhindert das Starten aller MSDT-basierten Windows-Problembehandlungen, z. B. der Netzwerkproblembehandlung und der Druckerproblembehandlung. Die empfohlene Problemumgehung deaktiviert die Unterstützung für das Klicken auf MSDT-Links, und Benutzer können die bekannten Windows-Problembehandlungen weiterhin verwenden.

F: Für welche Windows-Versionen ist die Problemumgehung erforderlich?

A: Das MSDT-URL-Protokoll ist in Windows Server 2019 und Windows 10 Version 1809 sowie späteren unterstützten Windows-Versionen verfügbar. Der im Abschnitt „Problemumgehungen“ erwähnte Registrierungsschlüssel ist in früheren unterstützten Windows-Versionen nicht vorhanden, daher ist die Problemumgehung nicht erforderlich.

Wir werden CVE-2022-30190 mit weiteren Informationen aktualisieren.

Das MSRC-Team

Revisionen: 06/06/2022 – Weitere FAQs hinzugefügt. 06/07/2022 – Eine weitere Frage und Antwort hinzugefügt. 06/07/2022 – Zusätzliche Erkennungsinformationen hinzugefügt.