CVE-2025-21418: Windows AFD.sys Privilege Escalation Zero-Day

Eine Zero-Day-Schwachstelle im Windows Ancillary Function Driver (afd.sys) erlaubt lokalen Angreifern die Privilegienerhöhung auf SYSTEM-Ebene. Aktiv in freier Wildbahn ausgenutzt. CVSS 7.8 HOCH. Im Februar-2025-Patch-Tuesday gepatcht, aber Monate später in Unternehmensumgebungen weiterhin verbreitet ungepatcht.

Was ist CVE-2025-21418?

CVE-2025-21418 ist eine Windows-Kernel-Schwachstelle in afd.sys — dem Ancillary Function Driver für WinSock, einer Kernel-Mode-Komponente, die Windows-Socket-Operationen behandelt. Ein Out-of-bounds-Write in der IOCTL-Behandlung des Treibers erlaubt einem lokalen Angreifer, Kernel-Speicher zu korrumpieren und Code-Ausführung auf SYSTEM-Ebene zu erlangen.

Diese Schwachstellenklasse ist in Post-Exploitation-Szenarien besonders gefährlich. Sobald ein Angreifer über beliebige lokale Code-Ausführung verfügt (via Phishing, RCE in einem Dienst oder Initial-Access-Malware), bietet CVE-2025-21418 einen zuverlässigen Pfad zu vollen SYSTEM-Rechten — unter Umgehung von UAC und aller Sicherheitskontrollen auf Benutzerebene.

Betroffene Systeme

Alle Versionen vor den Updates des Februar-2025-Patch-Tuesday sind verwundbar. Organisationen mit verzögerten Patch-Zyklen oder von automatischen Updates ausgenommenen Systemen sind einem erheblichen Risiko ausgesetzt.

Wie AFD.sys-Schwachstellen funktionieren

Der Ancillary Function Driver ist ein Kernel-Mode-Treiber, der Userspace-WinSock-Aufrufe mit dem Kernel-Networking-Stack verbindet. Wenn eine Userspace-Anwendung Socket-Funktionen wie WSAIoctl() oder DeviceIoControl() mit Socket-Handles aufruft, läuft der Aufruf durch afd.sys.

Die Schwachstelle wird ausgelöst, indem ein speziell präparierter IOCTL-Request mit einem fehlerhaften Buffer-Deskriptor an den Treiber gesendet wird. Der Treiber validiert die Buffer-Grenzen vor dem Schreiben nicht korrekt, was zu einer Speicherkorruption im Kernel-Heap oder -Stack führt:

# Conceptual exploitation flow (simplified)
1. Open SOCKET handle
2. Send crafted DeviceIoControl() with IOCTL_AFD_[SPECIFIC_CODE]
3. Malformed buffer descriptor causes out-of-bounds write in kernel pool
4. Overwrite kernel object (e.g., TOKEN, EPROCESS) to elevate privileges
5. Spawn cmd.exe with SYSTEM token

Der AFD-Treiber ist historisch ein ergiebiges Ziel — CVE-2023-21768 (eine weitere afd.sys-LPE) wurde vor dem Patchen ähnlich in Ransomware-Kampagnen ausgenutzt.

Warum Enterprise-Patching hinterherhinkt

Trotz des Patches im Februar 2025 blieb CVE-2025-21418 noch Monate nach Veröffentlichung auf einem erheblichen Prozentsatz von Enterprise-Windows-Systemen ungepatcht — aus mehreren Gründen:

• Patch-Ring-Deployments: Enterprise-Organisationen testen Patches vor breitem Rollout, wodurch mehrwöchige Fenster entstehen
• Server-Ausnahmen: Kritische Server mit 24/7-Workloads werden oft seltener gepatcht
• Legacy-Systeme: Windows Server 2012 R2 im Extended Support hat eingeschränkte Patch-Optionen
• Air-Gap-Umgebungen: Isolierte Netze erfordern manuelle Patch-Deployment-Prozesse

Erkennung

Windows-Event-Logs

# Look for kernel fault events near exploitation time
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1001} | 
  Where-Object {$_.Message -like '*afd*'} | 
  Select-Object TimeCreated, Message

# Check for unexpected SYSTEM token spawning from user processes
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} |
  Where-Object {$_.Properties[6].Value -eq 'S-1-5-18'} |
  Where-Object {$_.Properties[13].Value -notlike 'C:\Windows\*'}

EDR-Verhaltenssignaturen

• Prozess im Benutzerkontext, der Kindprozesse mit SYSTEM-Integritätsebene startet
• Unerwartete DeviceIoControl-Aufrufe an \Device\Afd mit ungewöhnlichen IOCTL-Codes
• Prozess-Token-Manipulation durch Nicht-SYSTEM-Elternprozesse
• Kernel-Pool-Korruptions-Ereignisse in Crash-Dumps

Mitigation

1. Wenden Sie KB5051974 (Windows 10/11) oder äquivalente Server-Patches aus dem Februar-2025-Patch-Tuesday sofort an
2. Aktivieren Sie Windows Defender Exploit Guard mit Attack-Surface-Reduction-Regeln, um den Post-Exploitation-Impact zu begrenzen
3. Least Privilege umsetzen: Minimieren Sie die Zahl der Benutzer mit lokalen Admin-Rechten; eine LPE nützt nur, wenn ein Angreifer bereits einen Fuß in der Tür hat
4. EDR einsetzen: Verhaltensbasierte Erkennung ist die einzige Pre-Patch-Mitigation für LPE-Schwachstellen dieser Klasse
5. Auf LOLBins achten: Post-LPE-Aktivität nutzt oft legitime Windows-Tools; überwachen Sie auf anomale Eltern-Kind-Prozessbeziehungen

KENSAI-Erkennungsfähigkeit

• OS-Versions-Scanning: KENSAI identifiziert ungepatchte Windows-Versionen über Ihr internes und Cloud-Asset-Inventar hinweg
• Patch-Compliance-Reporting: Automatisiertes Reporting des CVE-2025-21418-Patch-Status über alle Windows-Endpoints und -Server
• Angriffsflächen-Priorisierung: Internet-gerichtete Windows-Systeme mit ungepatchten LPE-Schwachstellen werden mit höchstem Risiko eingestuft
• Integration mit Patch-Management: KENSAI integriert sich mit WSUS, SCCM und Intune, um Scan-Ergebnisse mit dem Patch-Deployment-Status zu korrelieren