KritischCVE-2018-19321

GIGABYTE (mehrere Produkte): Rechteausweitung (CVE-2018-19321)

Veröffentlicht 21.12.2018In CISA KEV seit 24.10.2022Quellen: CVE.org

Was ist betroffen, was ist zu tun

Die Low-Level-Treiber GPCIDrv und GDrv im GIGABYTE APP Center v1.05.21 und früher, AORUS GRAPHICS ENGINE vor 1.57, XTREME GAMING ENGINE vor 1.26 sowie OC GURU II v2.08 bieten Funktionalitäten zum Lesen und Schreiben beliebiger physischer Speicherbereiche an. Dies könnte von einem lokalen Angreifer ausgenutzt werden, um Berechtigungen zu erhöhen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Gigabyte Aorus Graphics Engine auf Version 1.57, Gigabyte App Center auf Version 19.0422.1, Gigabyte Xtreme Gaming Engine auf Version 1.26. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen: Gigabyte Aorus Graphics Engine lt *..1.57
Gigabyte App Center lt *..19.0422.1
Gigabyte OC Guru II eq 2.08..2.08
Gigabyte Xtreme Gaming Engine lt *..1.26
Behoben in: Gigabyte Aorus Graphics Engine 1.57
Gigabyte App Center 19.0422.1
Gigabyte Xtreme Gaming Engine 1.26

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

7,8

Priorität

XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

Quelle: NVD, CVSS v3

7,8

CVSS v3

Schweregrad Hoch auf der Skala von 0 bis 10.

Quelle: CVE.org

3,7 %

EPSS-Score

Moderat – Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.

Quelle: FIRST EPSS, Perzentil 89,7

Alle Metriken anzeigen

Schweregrad: Kritisch
Priorität (0–325) Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst? Im Glossar lesen: 228.40 Methodik
Exploit-Reife Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht. Im Glossar lesen: aktiv ausgenutzt
XIEM Effective CVSS XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command. Im Glossar lesen: 7,8 Methodik
CVSS v3 CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen. Im Glossar lesen: 7,8
EPSS-Score Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“. Im Glossar lesen: 3,7 %; Moderat – Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.
EPSS-Perzentil Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking. Im Glossar lesen: 89,7; Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
KEV-Status Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf. Im Glossar lesen: Aktiv ausgenutzt
Veröffentlicht: 21.12.2018
In CISA KEV seit Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf. Im Glossar lesen: 24.10.2022
CISA-Bewertung (SSVC): Ausnutzung: aktiv · nicht automatisierbar · Auswirkung: vollständig; Quelle: CISA Vulnrichment, Stand 27. Oktober 2022

Behebung und Mitigation

Warum sofort handeln?

Priorisierung

Die Schwachstelle erlaubt einem lokal angemeldeten Benutzer mit geringen Rechten ohne Benutzerinteraktion den vollständigen Lese- und Schreibzugriff auf den physischen Speicher. Ihr eigentlicher Wert für Angreifer liegt jedoch im BYOVD-Szenario: Der legitim signierte Treiber wird nach einer Erstkompromittierung bewusst mitgebracht, um Kernel-Schutzmechanismen zu umgehen und Sicherheitsprodukte abzuschalten. CISA führt die Lücke ausdrücklich mit bekannter Ransomware-Nutzung. Die Ausnutzungswahrscheinlichkeit ist im Vergleich zu anderen lokalen Schwachstellen erhöht. Da der Angreifer den Treiber selbst einschleust, schützt ein „bei uns ist keine GIGABYTE-Software installiert" nicht; die priorisierte Maßnahme ist daher die flächendeckende Treiber-Sperrliste bzw. ASR-Regel auf allen Windows-Systemen und nicht nur das Entfernen der Software. Für NIS2-/KRITIS-Umgebungen mit Ransomware-Risiko ist dies als hoch einzustufen.

01
Schritt 1 im Runbook
Sofort-Response (0-24 h)
- Inventarisierung: Alle Windows-Endpunkte per EDR/Softwareverteilung nach den Treibern gdrv.sys und GPCIDrv.sys/GPCIDrv64.sys (z. B. unter C:\Windows\System32\drivers\ und in Installationsverzeichnissen von GIGABYTE-Software) sowie nach den Produkten APP Center, AORUS Graphics Engine, XTREME Gaming Engine und OC GURU II durchsuchen. Auch Kernel-Dienste mit ungewöhnlichem Pfad (%TEMP%, %APPDATA%, C:\Users\Public\) erfassen.
- Deinstallation statt Patch, wo möglich: Auf Unternehmensclients und Servern ist GIGABYTE-Tuning- und RGB-Software in der Regel nicht betriebsnotwendig. Betroffene Produkte und Treiberdienste entfernen (sc stop <Dienst> / sc delete <Dienst>, Treiberdatei löschen, Neustart). OC GURU II v2.08 ohne bekannte Korrekturversion vollständig entfernen.
- Aktualisierung, falls fachlich erforderlich: Laut NVD sind betroffen: APP Center v1.05.21 und älter, AORUS Graphics Engine vor 1.57, XTREME Gaming Engine vor 1.26 und OC GURU II v2.08. Die betroffene Produktliste nennt jedoch auch 1.57/1.26 explizit. Patch verfügbar beim Hersteller — Version bitte im Vendor-Advisory nachschlagen und vor dem Rollout verifizieren, dass der alte Treiber tatsächlich ersetzt bzw. entfernt wird.
- Fundstellen als Kompromittierungsverdacht behandeln: Liegt gdrv.sys auf einem System ohne installierte GIGABYTE-Software vor oder wurde der Treiber kürzlich als Dienst registriert, das System isolieren und einen forensischen Triage-Prozess starten. Typisches Muster ist BYOVD (Bring Your Own Vulnerable Driver): Der Treiber wird nachgeladen, um EDR-/AV-Prozesse im Kernel zu beenden.
- Schutzlösungen prüfen: Auf betroffenen Hosts kontrollieren, ob EDR-/AV-Dienste laufen und Telemetrie liefern. Ein plötzlicher Telemetrieausfall in Verbindung mit einem Treiberfund gilt als kritischer Vorfall.
02
Schritt 2 im Runbook
Mitigation-Layer
- Endpunkthärtung – Treiber-Sperrliste: Die Microsoft Vulnerable Driver Blocklist aktivieren (Windows Security → Gerätesicherheit → Kernisolierung bzw. per WDAC-Richtlinie). Zusätzlich die Defender-ASR-Regel „Block abuse of exploited vulnerable signed drivers" (GUID 56a863a9-875e-4185-98a7-b882c64b5ce5) zunächst im Audit-Modus und danach im Block-Modus ausrollen.
- Codeintegrität: HVCI (Speicherintegrität) auf kompatibler Hardware erzwingen. Eine WDAC-Richtlinie mit expliziter Deny-Regel für die GIGABYTE-Treiber (Hash- oder Signer-/Dateinamenregel) erstellen und per Intune/GPO verteilen.
- IAM/Least Privilege: Das Laden eines Treibers erfordert Administratorrechte (SeLoadDriverPrivilege). Lokale Administratorrechte entziehen, LAPS einsetzen und Mitgliedschaften in lokalen Administratorgruppen überwachen. Dadurch wird die Kette „lokaler Benutzer → Admin → Kernel" unterbrochen.
- Softwarekontrolle: Die Installation von Herstellertools für Endkunden (Gaming-, OC- und RGB-Software) per AppLocker/WDAC sowie über den Software-Katalog unterbinden. Besonders relevant sind Entwickler- und CAD-Workstations mit Consumer-Mainboards bzw. -Grafikkarten.
- Segmentierung: Da die Ausnutzung lokal erfolgt, ist sie Teil einer Angriffskette. Lateral Movement begrenzen (SMB/RDP/WinRM zwischen Clients blockieren, Tiering-Modell für Administratorkonten), damit ein erlangter Kernel-Zugriff nicht in eine domänenweite Ransomware-Verteilung mündet.
03
Schritt 3 im Runbook
Detection-Regeln
- Sysmon EID 6 (Driver loaded): Sigma-Form ImageLoaded|endswith: ['\gdrv.sys','\GPCIDrv.sys','\GPCIDrv64.sys']. Zusätzlich auf Signer „GIGA-BYTE TECHNOLOGY CO., LTD." in Verbindung mit einem untypischen Pfad alarmieren.
- Dienstinstallation: Windows System Event ID 7045 bzw. Security Event ID 4697 mit ServiceType = kernel mode driver und ImagePath in Benutzer- oder Temp-Verzeichnissen. Prozess-Ancestry cmd.exe/powershell.exe → sc.exe create … type= kernel sollte zum Alarm führen.
- KQL (Defender for Endpoint): DeviceEvents | where ActionType == "DriverLoad" | where FileName in~ ("gdrv.sys","GPCIDrv.sys","GPCIDrv64.sys") | project Timestamp, DeviceName, FolderPath, InitiatingProcessFileName
- Codeintegrität/ASR: Microsoft-Windows-CodeIntegrity/Operational Event ID 3076 (Audit) bzw. 3077 (Block) sowie ASR-Ereignisse für die Treiber-Regel. Jeder Treffer ist ein Hinweis auf einen Ladeversuch.
- Folgeverhalten: Kurz nach dem Treiberladen beendete oder gestoppte EDR-/AV-Prozesse, Lücken in der Agent-Heartbeat-Telemetrie, anschließend Massenumbenennung von Dateien oder vssadmin delete shadows bzw. wbadmin delete catalog. Diese Ereignisse im SIEM in einem Zeitfenster von 30 Minuten korrelieren.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2 NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung. Im Glossar lesen: Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
CRA Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Im Glossar lesen: Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
ISO/IEC 27001 ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern. Im Glossar lesen: Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: CISA KEV Catalog, NVD (NIST), cvelistv5

Betroffene Produkte

Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

Betroffene Produkte
		Betroffene Versionen	Behoben in
gigabyte	aorus_graphics_engine	`< 1.57`	`1.57`
gigabyte	app_center	`< 19.0422.1`	`19.0422.1`
gigabyte	oc_guru_ii	`2.08`	—
gigabyte	xtreme_gaming_engine	`< 1.26`	`1.26`

Hersteller und Produkte

Öffentliche Exploit-Referenzen

Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

Öffentliche Exploit-Referenzen

CISA KEV Catalog	CISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.gov	aktiv ausgenutzt	24.10.2022

Quellen & Referenzen

seclists.org20181221 [CORE-2018-0007] - GIGABYTE Driver Elevation of Privilege VulnerabilitiesMailingliste, x_refsource_FULLDISC
secureauth.comlabs/advisories/gigabyte-drivers-elevation-privilege-vulnerabil…x_refsource_MISC
securityfocus.com106252Schwachstellendatenbank, x_refsource_BID
gigabyte.comSupport/Security/1801x_refsource_CONFIRM
cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2018-19321government-resource

Badge einbetten

Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

<a href="https://intel.neosec.eu/cve/CVE-2018-19321"><img src="https://intel.neosec.eu/badge/cve/CVE-2018-19321.svg" alt="CVE-2018-19321 – NEOSEC Intel" height="20"></a>