---
cve: "CVE-2025-33069"
severity: "MEDIUM"
cvss: 5.1
epss: "0.3%"
vendor: "Microsoft"
kev: false
exploited: false
published: "2025-06-10 17:22:53"
tags: [cve, security, medium]
source: tsecurity.de CVE-Dossier
exported: "2026-11-10T19:44:52+01:00"
---

# CVE-2025-33069

> 5.1 MEDIUM

## Beschreibung

Improper verification of cryptographic signature in App Control for Business (WDAC) allows an unauthorized attacker to bypass a security feature locally.

## CNA-Record (Kanon, cvelistV5)

- CNA: **microsoft**
- State: PUBLISHED
- Stand: 2026-02-20 16:01:04
- CNA-CVSS: **5.1** (`CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N/E:U/RL:O/RC:C`)

## CISA-Anreicherung (vulnrichment/ADP)

- CISA-SSVC (Coordinator, v2.0.3):
  - Exploitation: **none**
  - Automatable: **no**
  - Technical Impact: **partial**

## CVSS-Vektor

```
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N/E:U/RL:O/RC:C
```

| Metrik | Wert | Bewertung |
|---|---|---|
| AV Angriffsvektor | Lokal | good |
| AC Komplexität | Gering | bad |
| PR Privilegien | Keine | bad |
| UI Interaktion | Keine | bad |
| S Scope | Unverändert | good |
| C Vertraulichkeit | Gering | warn |
| I Integrität | Gering | warn |
| A Verfügbarkeit | Keine | good |

## Schwachstellen-Klasse

- **CWE-347** — Improper Verification of Cryptographic Signature
  The product does not verify, or incorrectly verifies, the cryptographic signature for data.

## Angriffsmuster (CAPEC)

- [CAPEC-463 — Padding Oracle Crypto Attack](https://capec.mitre.org/data/definitions/463.html) _(Severity: High)_
- [CAPEC-475 — Signature Spoofing by Improper Validation](https://capec.mitre.org/data/definitions/475.html) _(Severity: High)_

## BSI-Hinweise (deutsch)

- [Microsoft Windows: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2025-1277) — _BSI-Einstufung: hoch_
  Ein Angreifer kann mehrere Schwachstellen in verschiedenen Versionen von Microsoft Windows und Microsoft Windows Server ausnutzen, um seine Privilegien zu erhöhen, um einen Denial of Service Angriff durchzuführen, um beliebigen Programmcode auszuführen, um Informationen offenzulegen, um Sicherheitsvorkehrungen zu umgehen, und um falsche Informationen darzustellen.

## Referenzen

- <https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-33069>

---
_Exportiert aus dem [tsecurity.de CVE-Dossier](https://tsecurity.de/sicherheitsluecken/cve-2025-33069/) · Datenquellen: EUVD (ENISA), NVD, OSV, CISA KEV, FIRST EPSS, Exploit-DB, BSI WID (CSAF)_