MiniPlasma: Neue Windows-0-Day ermöglicht SYSTEM-Rechte – PoC bereits veröffentlicht

Eine neue Windows-0-Day sorgt aktuell für massive Unruhe in der Cybersecurity-Szene. Die Schwachstelle MiniPlasma – auch GreenPlasma – erlaubt Angreifern die Eskalation auf SYSTEM-Rechte, also die höchste lokale Berechtigungsstufe unter Windows.

Besonders brisant: Für die Schwachstelle existiert bereits ein öffentlicher Proof-of-Concept (PoC). Veröffentlicht wurde sie von dem Sicherheitsforscher „Chaotic Eclipse", der in den vergangenen Monaten bereits mehrfach mit öffentlich gemachten Windows-0-Days gegen Microsoft Schlagzeilen machte. Sicherheitsforscher bestätigen, dass der Exploit auf aktuellen Windows-11-Systemen reproduzierbar funktioniert.

MiniPlasma ist eine lokale Privilege-Escalation-Schwachstelle (LPE). Das bedeutet: Ein Angreifer benötigt zunächst irgendeinen Zugriff auf das System – über einen der folgenden typischen Erstzugangs-Vektoren:

Anschließend kann MiniPlasma genutzt werden, um aus einem normalen Benutzerkonto heraus SYSTEM-Rechte zu erhalten. Genau das macht die Lücke so gefährlich – mit SYSTEM kann ein Angreifer:

Laut den veröffentlichten Informationen basiert GreenPlasma auf einer problematischen Verarbeitung von sogenannten Windows Section Objects innerhalb von CTFMON-bezogenen Komponenten. Der PoC demonstriert die Möglichkeit, beliebige Speicher-Section-Objekte in Verzeichnissen zu erzeugen, die normalerweise nur von SYSTEM genutzt werden.

Dadurch lassen sich interne Windows-Mechanismen manipulieren, die später von privilegierten Diensten oder sogar Kernel-Treibern verwendet werden. Der Forscher beschreibt den Fehler knapp und treffend:

„Windows CTFMON arbitrary section creation."

Sicherheitsanalysten warnen, dass aus diesem PoC in kurzer Zeit vollwertige Weaponized-Exploits entstehen können.

Besonders problematisch ist diesmal nicht nur die Existenz der Schwachstelle – sondern die Art der Veröffentlichung. Der Forscher publizierte den Exploit öffentlich, nachdem es offenbar erneut Streit mit dem Microsoft Security Response Center (MSRC) gegeben hatte. Bereits zuvor hatte derselbe Forscher unter anderem die 0-Days „BlueHammer" und „YellowKey" veröffentlicht.

Laut mehreren Berichten wurden die neuen Exploits bereits innerhalb von 24 Stunden aktiv analysiert und getestet. Sicherheitsforscher bestätigten zudem, dass der Code gegen moderne Windows-11-Builds funktioniert.

Aktuell wird davon ausgegangen, dass insbesondere folgende Systeme anfällig sein können:

Mehrere Quellen sprechen davon, dass selbst vollständig aktualisierte Systeme betroffen sein können. Da bisher kein offizieller Patch existiert, gibt es derzeit keine vollständige technische Sicherheitslösung.

Die größte Gefahr entsteht durch die Kombination mit anderen Angriffstechniken. Moderne Ransomware-Gruppen arbeiten exakt mit solchen mehrstufigen Ketten:

Solange kein Patch verfügbar ist, entscheidet die Angriffsfläche über das Restrisiko. Diese fünf Säulen reduzieren MiniPlasma-Exposure messbar:

MiniPlasma / GreenPlasma zeigt erneut, wie gefährlich moderne lokale Windows-Exploits werden können – selbst ohne Remote-Code-Execution. Sobald Angreifer irgendeinen ersten Zugang erhalten, entscheidet eine funktionierende Privilege-Escalation über den Unterschied zwischen einem kleinen Vorfall und einem vollständigen Unternehmens-Komplettausfall.

Die Schwachstelle ist öffentlich dokumentiert, ein PoC existiert bereits, und Sicherheitsforscher rechnen damit, dass Cyberkriminelle die Technik sehr schnell in reale Angriffskampagnen integrieren werden. Wer Windows produktiv betreibt, sollte jetzt Monitoring, EDR/XDR und Härtung überprüfen – nicht erst, wenn ein Patch kommt.