Google macht weitere Windows-Sicherheitslücke öffentlich

Google hat im Rahmen seines Project Zero eine weitere Sicherheitslücke in Windows 7 und 8.1 entdeckt und sie gemäß seiner Richtlinien nach einer Sperrfrist von 90 Tagen publik gemacht. Diesmal handelt es sich um einen Bug in der Speicherverschlüsselungsfunktion CryptProtectMemory. Entdeckt hat ihn James Forshaw, der auch schon ein inzwischen behobenes Rechteausweitungsproblem im User Profile Service von Windows 8.1 gefunden hatte. Dessen Bekanntmachung kurz vor Microsofts Patchday sorgte zuletzt für Streit zwischen beiden Unternehmen.

Forshaw beschreibt die neue Schwachstelle als „Impersonation Check Bypass„. Sie könne zu Problemen führen, wenn ein Dienst beispielsweise verschlüsselte Daten in einem für jedermann lesbaren geteilten Speicherbereich ablege.

„Bei Verwendung der Logon-Session-Option (CRYPTPROTECTMEMORY_SAME_LOGON flag) wird der Schlüssel auf Basis des Logon Session Identifier generiert, damit Speicher zwischen verschiedenen Prozessen mit demselben Logon geteilt werden kann. Während dies auch zum Versand von Daten von einem Prozess zu einem anderen genutzt werden könnte, ermöglicht es die Extrahierung der Logon Session ID aus dem Impersonation Token„, erläutert Forshaw. Bei Letzterem handelt es sich um ein Zugangs-Token, das erstellt wird, um Sicherheitsinformationen eines Client-Prozesses auszulesen, damit ein Server diesen Client-Prozess bei Sicherheitsoperationen nachahmen kann.

„Das Problem besteht darin, dass die Implementierung in CNG.sys nicht das Impersonation-Level des Tokens überprüft, wenn die Logon Session ID (mittels SeQueryAuthenticationIdToken) erfasst wird, sodass ein Standardnutzer sich auf Identifizierungsebene als jemand anderes ausgeben und Daten für diese Logon-Session ent- oder verschlüsseln kann“, so Forshaw weiter. „Allerdings könnte dieses Verhalten auch gewollt sein, selbst wenn es nicht Teil des Designs ist.“

Forshaw hat den Bug am 17. Oktober entdeckt, Microsoft konnte ihn bis zum 29. Oktober reproduzieren. Aufgrund von Kompatibilitätsproblemen war Microsoft jedoch nicht in der Lage, vor Ablauf von Googles Sperrfrist einen Patch bereitzustellen, sodass die Lücke nun veröffentlicht wurde. „Mirosoft hat uns darüber informiert, dass sie für den Januar-Patchday einen Fix geplant hatten, diesen aber wegen Kompatibilitätsproblemen zurückziehen mussten. Entsprechend ist der Fix nun mit den Februar-Patches zu erwarten“, schreibt Forshaw in einem Update zu seinem ursprünglichen Fehlerbericht.

Es ist bereits das zweite Mal innerhalb einer Woche, dass Google eine Windows-Lücke öffentlicht macht, obwohl Microsoft an der Behebung des Problems arbeitet und Google gebeten hat, die Offenlegung zu verschieben. Damit steigt die Gefahr, dass die Anfälligkeit vor Erscheinen eines Patches ausgenutzt wird.

[mit Material von Chris Duckett, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de