Die Sicherheitslücke ist ohne die Abschaltung des 8086-Emulationsmodus nicht zu schließen. Der Real-Mode des 8086 hat keinen Speicherschutz. Daher muss eine Emulation so programmiert sein, dass innerhalb des 20-Bit-Adressraums einer virtuellen 80×86-Maschine keine Prüfung auf Speicherzugriffsrechte stattfindet. Zudem muss das feste Adressierungsschema des 8086 Speicheradresse = Segmentregister * 16 + Offsetregister exakt im Adressraum des Protected Mode abgebildet werden. Somit können Entwickler Ring3-Code nur den Vollzugriff auf den gesamten Adressraum der virtuellen 8086-Maschine geben.
Grundsätzlich lässt sich der DOS- und 16-Bit-Windows-Emulationsmodus abschalten, indem man den DWORD-Wert VDMDisallowed im Registry-Key HKEY_LOCAL_MACHINE
Da der Exploit ohne tiefe Kenntnisse ausgenutzt werden kann, sollte man vorher prüfen, ob sich nicht bereits Benutzer in die lokale Administratorgruppe hinzugefügt haben. Diese Prüfung muss für jeden 32-Bit-Arbeitsplatz durchgeführt werden.
Ferner ist zu bedenken, dass vor allem Laptop-Nutzer die Möglichkeit haben, den VDMDisallowed-Parameter in der Registry wieder auf null zu setzen. Dazu benötigen sie nur eine Installations-DVD ab Windows Vista. Dann können sie den Software-Hive im Verzeichnis C:WindowsSystem32config im Registry-Editor laden und ändern.
Nach der Änderung loggt man sich ohne Netzwerkverbindung ein. Das stellt sicher, dass eine eventuelle Group-Policy nicht greift. Erst wenn der Nutzer die Konsole des System-Kontos geöffnet hat, verbindet er sich mit dem Firmennetz.
Gegen Registry-Manipulationen mit einem Boot-Medium schützt nur eine Festplattenverschlüsselung wie Bitlocker. Neben der genannten Registry-Manipulation gibt es seit vielen Jahren fertige Registry-Manipulationstools, die direkt die SAM modifizieren und so Administratorrechte verschaffen. Dazu gehört beispielsweise ntpasswd.
Neueste Kommentare
7 Kommentare zu Adminrechte per Mausklick: gefährliche Lücke in Windows
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Download?
Ich habe zu Testzwecken versucht die exe/dll-Dateien von verschiedenen Sites runterzuladen. GData sagt: niet! Es braucht offensichtlich ein beachtliches Mass krimineller Energie um diese Lücke auszunützen und ich denke diese Energie würde auch unixoide 32-bit Systeme problemlos aushebeln.
Grundsätzlich kein Risiko für Privat-User,
weil nur ein am PC angemeldeter User das Programm starten und sich höhere Rechte verschaffen kann. Allerdings kann ein User im Firmennetzwerk sich damit u.U. Zugang zu für ihn gesperrten Informationen verschaffen oder Schlimmstenfalls auch gezielt Schaden anrichten.
Artikel von Herrn Hochstaetter
Es waere wuenschenswert, wenn im Artikel zu Beginn explizit darauf hingewiesen wuerde, dass jeder Nutzer zu Hause von der Windows-Luecke NICHT betroffen ist.
Der Hacker muss lokal angemeldet sein, wenn er die Luecke ausnutzen will, wie man spaeter erfaehrt.
Alle anderen muessten die Bootpartition verschluesseln, um ganz sicher zu sein, da sonst die Registry mittels CD wieder manipuliert werden kann.
Tom
Wer booten vom Rechner zuläßt, geht immer ein Sicherheitsrisiko ein.
Das man mit einem Bootmedium alle Dateien auf einem Rechner auslesen kann, ist nicht neu. Insofern liegt hierin auch keine neue Bedrohung.
Wer seine Rechner absichern will kann das jedoch im Bios verhindern und somit das auslesen der lokalen Dateien zumindest erschweren. Zugleich verhindert er auch Änderungen in der Regestry.
Thomas Hoffmann
AW: Wer booten vom Rechner zuläßt, geht immer ein Sicherheitsrisiko ein.
Was hat das Problem mit Booten zu tun? Das ist doch gar nicht nötig.
Netzwerkzugriff geht ja nicht.
Da ein Zugriff aufs Netzwerk über diese Exploit nicht möglich ist, muss man vor der lokalen Kiste sitzen und sich wohl zumindest als GUEST anmelden. Da nützt es schon, den PC mit BIOS Passwort zu schützen, vorausgesetzt man vergisst das herunterfahren nicht.
Biometrische Kennungen kann das ebenfalls nicht aushebeln.
AW: Netzwerkzugriff geht ja nicht.
Das schon, nur ist das in meinen Augen ein paralleles Problem. Die hier geschilderte Problematik funktioniert auch mit BIOS Paßtwort und Bootmöglichkeit. Und in größeren Netzwerken kann man sich auch über das Netz verbreiten, weil größere Netzwerke i.d.R. einige Rechner aufweisen, auf denen sich jeder anmelden kann mit seinem Account.