Am Dienstag veröffentlichte Tavis Ormandy von Neohapsis einen Exploit für alle 32-Bit-Versionen von Windows. Dabei handelt es sich um eine der gefährlichsten Sicherheitslücken, die bisher für das Microsoft-Betriebssystem aufgetaucht sind. Getestet hat Ormandy sein Programm mit Windows XP, 2003, 7 und 2008. Unter Windows NT 3.1 bis 4.0 und 2000 müsste es jedoch ebenfalls funktionieren.
Die Software setzt sämtliche Sicherheitsmechanismen auf dem lokalen Rechner außer Kraft und gefährdet die Netzwerksicherheit in vielen Windows-Domänen-Netzwerken, wie sie in Unternehmen, Behörden und Regierungen genutzt werden. Ein normaler Benutzer, der an seinem Arbeitsplatz eine beliebige 32-Bit-Windows-Version hat, kann damit jede Identität von Benutzern aus einer Active-Directory-Domäne annehmen.
Das Gefährliche an dieser Lücke ist, dass der Angreifer weder spezielle Kenntnisse benötigt, noch besondere Voraussetzungen vorliegen müssen. Ormandy hat seinen Exploit lückenlos dokumentiert und neben dem Sourcecode auch eine ausführbare Datei erstellt, die man nur herunterladen und anklicken muss. Besonders gefährdet sind Unternehmen, die einen Terminalserverzugang auf einem 32-Bit-Rechner für Mitarbeiter zulassen.
Ein Mitarbeiter, der bereit ist, seine Zugangsdaten wie Password oder Smartcard einem Dritten, eventuell gegen Bargeld, zu überlassen, gewährt diesem einen vollständigen Administratorzugang zu allen Rechnern, auf denen er sich mit entferntem oder lokalem Desktopzugang einloggen kann.
Möglich wird der Angriff durch eine Lücke in der virtuellen DOS-Maschine (NTVDM), die in den 32-Bit-Versionen von Windows standardmäßig aktiviert ist. Die NTVDM führt DOS- und 16-Bit-Anwendungen aus. In 64-Bit-Versionen von Windows ist keine NTVDM vorhanden, da AMD und Intel entschieden haben, im 64-Bit-Betrieb ihrer Prozessoren keinen virtuellen 8086-Mode mehr zu implementieren, um sich von unnötigem Ballast bezüglich der Rückwärtskompatibilität zu befreien.
Normalerweise benötigt man heutzutage keine DOS- und 16-Bit-Anwendungen für die tägliche Arbeit mehr. Der Hauptgrund für das Fortbestehen der NTVDM liegt darin, dass einige 32-Bit-Applikationen einen 16-Bit-Installer verwenden. Diese Programme lassen sich auf 64-Bit-Versionen von Windows nicht automatisch installieren.
Neueste Kommentare
7 Kommentare zu Adminrechte per Mausklick: gefährliche Lücke in Windows
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Download?
Ich habe zu Testzwecken versucht die exe/dll-Dateien von verschiedenen Sites runterzuladen. GData sagt: niet! Es braucht offensichtlich ein beachtliches Mass krimineller Energie um diese Lücke auszunützen und ich denke diese Energie würde auch unixoide 32-bit Systeme problemlos aushebeln.
Grundsätzlich kein Risiko für Privat-User,
weil nur ein am PC angemeldeter User das Programm starten und sich höhere Rechte verschaffen kann. Allerdings kann ein User im Firmennetzwerk sich damit u.U. Zugang zu für ihn gesperrten Informationen verschaffen oder Schlimmstenfalls auch gezielt Schaden anrichten.
Artikel von Herrn Hochstaetter
Es waere wuenschenswert, wenn im Artikel zu Beginn explizit darauf hingewiesen wuerde, dass jeder Nutzer zu Hause von der Windows-Luecke NICHT betroffen ist.
Der Hacker muss lokal angemeldet sein, wenn er die Luecke ausnutzen will, wie man spaeter erfaehrt.
Alle anderen muessten die Bootpartition verschluesseln, um ganz sicher zu sein, da sonst die Registry mittels CD wieder manipuliert werden kann.
Tom
Wer booten vom Rechner zuläßt, geht immer ein Sicherheitsrisiko ein.
Das man mit einem Bootmedium alle Dateien auf einem Rechner auslesen kann, ist nicht neu. Insofern liegt hierin auch keine neue Bedrohung.
Wer seine Rechner absichern will kann das jedoch im Bios verhindern und somit das auslesen der lokalen Dateien zumindest erschweren. Zugleich verhindert er auch Änderungen in der Regestry.
Thomas Hoffmann
AW: Wer booten vom Rechner zuläßt, geht immer ein Sicherheitsrisiko ein.
Was hat das Problem mit Booten zu tun? Das ist doch gar nicht nötig.
Netzwerkzugriff geht ja nicht.
Da ein Zugriff aufs Netzwerk über diese Exploit nicht möglich ist, muss man vor der lokalen Kiste sitzen und sich wohl zumindest als GUEST anmelden. Da nützt es schon, den PC mit BIOS Passwort zu schützen, vorausgesetzt man vergisst das herunterfahren nicht.
Biometrische Kennungen kann das ebenfalls nicht aushebeln.
AW: Netzwerkzugriff geht ja nicht.
Das schon, nur ist das in meinen Augen ein paralleles Problem. Die hier geschilderte Problematik funktioniert auch mit BIOS Paßtwort und Bootmöglichkeit. Und in größeren Netzwerken kann man sich auch über das Netz verbreiten, weil größere Netzwerke i.d.R. einige Rechner aufweisen, auf denen sich jeder anmelden kann mit seinem Account.