CVE-2025-21418: Windows AFD.sys-Berechtigungseskalation Zero-Day

Alle Versionen vor den Patch-Tuesday-Updates vom Februar 2025 sind anfällig. Unternehmen mit verzögerten Patch-Zyklen oder Systemen, die von automatischen Updates ausgenommen sind, sind einem erheblichen Risiko ausgesetzt.

Wie AFD.sys-Schwachstellen funktionieren

Der Zusatzfunktionstreiber ist ein Kernel-Modus-Treiber, der WinSock-Aufrufe im Userspace an den Kernel-Netzwerkstapel überbrückt. Wenn eine Userspace-Anwendung Socket-Funktionen wie WSAIoctl() oder DeviceIoControl() mit Socket-Handles aufruft, wird der Aufruf über afd.sys geleitet.

Die Sicherheitslücke wird durch das Senden einer speziell gestalteten IOCTL-Anfrage an den Treiber mit einem fehlerhaften Pufferdeskriptor ausgelöst. Der Treiber validiert die Puffergrenzen vor dem Schreiben nicht ordnungsgemäß, was zu einer Beschädigung des Kernel-Heap- oder Stack-Speichers führt:

# Conceptual exploitation flow (simplified)
1. Open SOCKET handle
2. Send crafted DeviceIoControl() with IOCTL_AFD_[SPECIFIC_CODE]
3. Malformed buffer descriptor causes out-of-bounds write in kernel pool
4. Overwrite kernel object (e.g., TOKEN, EPROCESS) to elevate privileges
5. Spawn cmd.exe with SYSTEM token

Der AFD-Treiber war in der Vergangenheit ein produktives Ziel – CVE-2023-21768 (ein weiterer afd.sys-LPE) wurde in ähnlicher Weise in Ransomware-Kampagnen ausgenutzt, bevor er gepatcht wurde.

Warum es beim Patching in Unternehmen zu Verzögerungen kommt

Obwohl CVE-2025-21418 im Februar 2025 gepatcht wurde, blieb es auf einem erheblichen Prozentsatz der Windows-Unternehmenssysteme Monate nach der Veröffentlichung ungepatcht, und zwar aus mehreren Gründen:

• Patch-Ring-Bereitstellungen: Unternehmen testen Patches vor der breiten Bereitstellung und erstellen so mehrwöchige Zeitfenster
• Serverausnahmen: Kritische Server, auf denen rund um die Uhr Arbeitslasten ausgeführt werden, werden häufig seltener gepatcht
• Legacy-Systeme: Windows Server 2012 R2 mit erweitertem Support verfügt über begrenzte Patch-Optionen
• Air-Gap-Umgebungen: Isolierte Netzwerke erfordern manuelle Patch-Bereitstellungsprozesse

Erkennung

Windows-Ereignisprotokolle

# Look for kernel fault events near exploitation time
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1001} |
  Where-Object {$_.Message -like '*afd*'} |
  Select-Object TimeCreated, Message

# Check for unexpected SYSTEM token spawning from user processes
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} |
  Where-Object {$_.Properties[6].Value -eq 'S-1-5-18'} |
  Where-Object {$_.Properties[13].Value -notlike 'C:\Windows\*'}

EDR-Verhaltenssignaturen

• Benutzerkontextprozess, der untergeordnete Prozesse mit der Integritätsstufe SYSTEM erzeugt
• Unerwartete DeviceIoControl-Aufrufe an \Device\Afd mit ungewöhnlichen IOCTL-Codes
• Token-Manipulation von Nicht-SYSTEM-Eltern verarbeiten
• Kernel-Pool-Korruptionsereignisse in Crash-Dumps

Abhilfe

1. Wenden Sie sofort KB5051974 (Windows 10/11) oder gleichwertige Server-Patches vom Februar 2025 Patch Tuesday an
2. Aktivieren Sie die Angriffsflächenreduzierungsregeln von Windows Defender Exploit Guard, um die Auswirkungen nach der Ausnutzung zu begrenzen
3. Least Privilege implementieren: Minimieren Sie die Anzahl der Benutzer mit lokalen Administratorrechten; LPE ist nur dann sinnvoll, wenn ein Angreifer bereits Fuß gefasst hat
4. Bereitstellen von EDR: Die Verhaltenserkennung ist die einzige vor dem Patch vorgenommene Abhilfe für LPE-Schwachstellen dieser Klasse
5. Überwachen Sie auf LOLBins: Post-LPE-Aktivitäten nutzen oft legitime Windows-Tools; Überwachung auf abnormale Eltern-Kind-Prozessbeziehungen

KENSAI-Erkennungsfähigkeit

• OS-Versionsscan: KENSAI identifiziert ungepatchte Windows-Versionen in Ihrem internen und Cloud-Asset-Inventar
• Patch-Compliance-Berichte: Automatisierte Berichte zum CVE-2025-21418-Patchstatus auf allen Windows-Endpunkten und Servern
• Priorisierung der Angriffsfläche: Mit dem Internet verbundene Windows-Systeme mit ungepatchten LPE-Schwachstellen werden als höchstes Risiko eingestuft
• Integration mit Patch-Management: KENSAI lässt sich in WSUS, SCCM und Intune integrieren, um Scan-Ergebnisse mit dem Patch-Bereitstellungsstatus zu korrelieren