CVE-2025-24990 — Dereferenzierung nicht vertrauenswürdiger Zeiger in Windows (EoP)

Forschungsbericht von Sentinel AI Defense. Nur defensive Analyse — hier wird kein funktionierender Exploit oder PoC veröffentlicht.

Eine privilegierte Windows-Komponente dereferenziert einen Zeiger, den sie aus einem nicht vertrauenswürdigen Kontext erhält, ohne ihn zu validieren — das verschafft einem Angreifer mit niedrigen Privilegien beliebigen Speicherzugriff und einen zuverlässigen Weg zu SYSTEM. Wurde 2025 in freier Wildbahn ausgenutzt.

📄 Vollständiger Bericht: https://sentinelaidefense.com/posts/cve-2025-24990-windows-untrusted-pointer.html

---

Übersicht

CVE-2025-24990 ist eine Dereferenzierung nicht vertrauenswürdiger Zeiger-Schwachstelle in Microsoft Windows. Sie erlaubt es einem Angreifer, Privilegien zu erweitern oder beliebigen Code auszuführen, indem die unzureichende Validierung von Zeigern aus nicht vertrauenswürdigen Quellen ausgenutzt wird.

Der Fehler wurde 2025 aktiv in freier Wildbahn ausgenutzt und in den CISA-KEV-Katalog aufgenommen. Er wird häufig in Szenarien zur lokalen Privilegienerweiterung eingesetzt und kann mit anderen Schwachstellen für eine größere Wirkung verkettet werden. Von Microsoft in den Sicherheitsupdates von 2025 behoben.

Betroffene Versionen

Betrifft verschiedene Editionen von:

• Windows 10
• Windows 11
• Windows Server (2016–2025 builds)

Die Schwachstelle liegt typischerweise in zentralen Windows-Komponenten (Kernel oder Systemdienste), die nicht vertrauenswürdige Eingaben verarbeiten.

Technische Analyse (Grundursache)

Die Grundursache ist eine unzureichende Validierung eines Zeigers, der vom Benutzermodus oder einem anderen nicht vertrauenswürdigen Kontext an eine Komponente mit höheren Privilegien (z. B. den Kernel) übergeben wird. Wenn das System diesen Zeiger ohne ausreichende Prüfungen dereferenziert, kann ein Angreifer den Speicherzugriff kontrollieren, was zu beliebigen Lese-/Schreib-Primitiven oder direkter Codeausführung in einem erhöhten Kontext führt.

Diese Klasse von Fehlern (Dereferenzierung nicht vertrauenswürdiger Zeiger) ist eine häufige Quelle für Privilegienerweiterung und Informationsoffenlegung in Windows.

Angriffskette

1. Der Angreifer erlangt zunächst Codeausführung auf niedriger Privilegienstufe (z. B. durch Phishing, ein schädliches Dokument oder einen bestehenden Zugang).
2. Löst die Schwachstelle aus, indem ein präparierter Zeiger an die verwundbare Komponente übergeben wird.
3. Erzielt beliebigen Speicherzugriff oder Codeausführung auf einer höheren Privilegienstufe (häufig SYSTEM).
4. Führt weitere Aktionen durch: Auslesen von Anmeldedaten (Credential Dumping), laterale Bewegung oder Bereitstellung von Ransomware.

Sie wird häufig mit Browser- oder Anwendungs-Exploits verkettet, um das System vollständig zu kompromittieren.

Erkennungshinweise

• Überwachen Sie Windows-Sicherheitsprotokolle auf verdächtige Ereignisse zur Privilegienerweiterung oder ungewöhnliche Aktivitäten im Kernel-Modus.
• Achten Sie auf Abstürze oder Anomalien in Systemprozessen im Zusammenhang mit der Zeigerbehandlung.
• EDR-Tools sollten schnelle Folgen von Speicheroperationen oder Versuche kennzeichnen, vom Benutzermodus aus auf Kernel-Strukturen zuzugreifen.
• Verhaltensindikatoren: unerwartete Prozesserstellung auf SYSTEM-Ebene nach Aktivitäten im Benutzermodus.

Indikatoren einer Kompromittierung

• Spezifische Exploit-Muster, die auf die verwundbare Windows-Komponente abzielen (häufig in Exploit-Kits beobachtet).
• Artefakte nach der Ausnutzung: LSASS-Dumps, neue privilegierte Konten oder ungewöhnliches Laden von Treibern.
• Hashes bekannter Exploit-Tools oder Payloads, die mit Kampagnen von 2025 in Verbindung stehen.

Gegenmaßnahmen

• Installieren Sie die Microsoft-Sicherheitsupdates aus 2025 (insbesondere diejenigen, die diese CVE beheben).
• Aktivieren Sie erweiterte Windows-Schutzmaßnahmen wie HVCI (Hypervisor-geschützte Codeintegrität), Credential Guard und Kernel Data Protection.
• Verwenden Sie das Prinzip der geringsten Privilegien und Anwendungssteuerung (z. B. AppLocker oder WDAC).
• Halten Sie EDR-Lösungen mit verhaltensbasierten Regeln für Privilegienerweiterung auf dem neuesten Stand.

Diese Schwachstelle unterstreicht die Bedeutung zeitnaher Patches und moderner Windows-Sicherheitsfunktionen, da Probleme mit nicht vertrauenswürdigen Zeigern weiterhin ein zuverlässiger Vektor für Angreifer sind, die SYSTEM-Zugriff anstreben.

Referenzen

• Microsoft-MSRC-Bekanntmachung zu CVE-2025-24990
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24990
• CISA-Katalog bekannter ausgenutzter Schwachstellen

Haftungsausschluss

Dieses Repository wird ausschließlich zu defensiven und Bildungszwecken veröffentlicht. Es enthält Analysen, Erkennungslogik und Hinweise zur Schadensbegrenzung. Es wird kein funktionsfähiger Exploit-Code bereitgestellt. Verwenden Sie diese Informationen nur auf Systemen, die Sie autorisiert sind zu testen und zu verteidigen.

---

_{Gepflegt von Sentinel AI Defense · Erkenntnisse verantwortungsvoll im Rahmen koordinierter Offenlegung geteilt.}