CVE-2025-47987

CVE-2025-47987: Windows CredSSP Elevation of Privilege

📌 Dieses Repository enthält Dokumentation und Analyse-Ressourcen zur Schwachstelle CVE-2025-47987, einem Heap-basierten Pufferüberlauf (Heap-based Buffer Overflow), der das Windows Credential Security Support Provider (CredSSP)-Protokoll betrifft.

---

📝 Beschreibung

Die Schwachstelle ermöglicht es einem lokal authentifizierten Angreifer, seine Privilegien im System zu erhöhen. Der Fehler wird durch eine mangelhafte Speicherverwaltung bei der Verarbeitung bestimmter CredSSP-Protokollpakete verursacht, was zu Folgendem führen kann:

• Einem Heap-basierten Pufferüberlauf
• Oder einem Ganzzahlüberlauf (Integer Overflow)

Identifikator: CVE-2025-47987
Schwachstellentyp: Erweiterung von Privilegien (EoP)
Schwächen (CWE):

• CWE-122: Heap-based Buffer Overflow
• CWE-190: Integer Overflow or Wraparound
  Schweregrad (CVSS 3.1): 7.8 HIGH
  Vektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

---

💻 Betroffene Systeme

Die Schwachstelle betrifft eine breite Palette von Microsoft-Betriebssystemen, darunter:

• Windows 10 (Versionen 1507 bis 22H2)
• Windows 11 (Versionen 22H2, 23H2 und 24H2)
• Windows Server: 2008, 2012, 2016, 2019, 2022, 2025

✅ Wichtiger Hinweis: Es ist ein Update auf eine **Build-Version ** erforderlich, die neuer als die im Microsoft-Sicherheitskatalog angegebenen ist, um das Risiko zu mindern.

🔍 Bitte konsultieren Sie die vollständige Liste der betroffenen CPEs weiter unten.

---

🛠️ Minderung und Lösung

✅ Hauptlösung:

Installieren Sie die offiziellen Sicherheitspatches von Microsoft über Windows Update.

• Offizielles Update: Microsoft Security Update Guide — CVE-2025-47987
• Überprüfung nach Patch: Führen Sie winver oder systeminfo aus und bestätigen Sie, dass die Build-Version über den oben aufgeführten Schwellenwerten liegt.

⚠️ Es gibt keine wirksamen Problemumgehungen (wie das Deaktivieren von CredSSP), da dies kritische Funktionen wie Remotedesktop, WinRM und PowerShell-Remoting beeinträchtigen würde.

---

🔍 Technische Analyse

Der Überlauf tritt innerhalb des Credential Security Support Providers (CredSSP) auf, und zwar speziell während der Verarbeitung von NTLM/Kerberos-Authentifizierungsstrukturen im Kontext der Anmeldeinformationsumleitung (credential delegation).

Kernpunkte:

• Erforderlicher Zugriff: Lokal + authentifiziert (nicht remote).
• Benutzerinteraktion: UI:N → Keine Interaktion erforderlich.
• Auswirkung: Vollständige Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit (C:H/I:H/A:H).
• Typisches Szenario: Ein Angreifer mit Standardbenutzerrechten sendet eine bösartige Anfrage an einen Dienst, der CredSSP verwendet (z. B. termsrv, lsass), beschädigt den Heap und erlangt Codeausführung mit SYSTEM-Privilegien.

---

⚠️ Haftungsausschluss

Dieser Inhalt wird ausschließlich zu Informations- und Forschungszwecken im Bereich Cybersicherheit bereitgestellt.

❌ Die Verwendung dieser Informationen, um Systeme ohne explizite Autorisierung zu kompromittieren, ist illegal und verstößt gegen internationale Gesetze (z. B. CFAA, Datenschutzgesetze, DSGVO usw.).

✅ Die legitime Nutzung umfasst: autorisierte Audits, ethische Penetrationstests, Entwicklung von Abwehrmaßnahmen, IDS/EDR-Erkennung und beaufsichtigte akademische Ausbildung.

Offizielle Quellen:

• NIST National Vulnerability Database — CVE-2025-47987
• Microsoft Security Response Center (MSRC)

---

📚 Known Affected Software Configurations (CPE 2.2)

📣 Fehlt ein CPE? Melden Sie Ihren Fund an [email protected] (nur für autorisierte Forscher)!

---

📎 Referenzen

• Microsoft Security Advisory — CVE-2025-47987 (Vendor Advisory)
• NVD — CVE-2025-47987 Detail
• CWE-122: Heap-based Buffer Overflow
• CWE-190: Integer Overflow or Wraparound

---

🔐 Letzte Aktualisierung: 2025-04-05 — Basierend auf öffentlichen Daten von MSRC und NVD.
🛠️ Diese README.md-Datei ist unter CC BY-NC-SA 4.0 für nicht-kommerzielle Bildungs- und Forschungszwecke lizenziert.