Zero-Day-Lücke: Forscher zeigt Angriff auf Windows mit vCard-Dateien

Der Sicherheitsforscher John Page hat Details zu einer ungepatchten Sicherheitslücke in Windows veröffentlicht. Microsoft ist die Anfälligkeit, die sich mit speziell präparierten Visitenkarten-Dateien (vCard) ausnutzen lässt, bereits seit Oktober bekannt. Einen ursprünglich für Januar angekündigten Fix sagte das Unternehmen jedoch ab. Er soll nun erst im für April erwarteten nächsten Funktionsupdate für Windows 10 (19H1) enthalten sein.

Da die Schwachstelle über die Zero Day Initiative (ZDI) gemeldet wurde, wurden die Details nach Ablauf der vorgegebenen 90-Tage-Frist öffentlich gemacht. Von Page sowie ZDI liegen nun Sicherheitswarnungen vor, die es Unternehmen und Nutzern erlauben, Vorkehrungen zu treffen, um sich vor möglichen Angriffen zu schützen.

Demnach tritt der Fehler bei der Verarbeitung von vCard-Dateien auf. In eine solche Datei kann ein augenscheinlich harmloser Link eingebaut werden. Beim Klick darauf wird jedoch nicht die gewünschte Website gestartet, sondern Schadcode ausgeführt, was Page in einem Video sowie mit einem Proof-of-Concept demonstriert.

Allerdings lässt sich die Lücke nicht aus der Ferne ohne Interaktion mit einem Nutzer ansprechen – ein Angreifer muss sein Opfer dazu verleiten, die Visitenkarten-Datei zu öffnen und anschließend auf den eingebetteten Link zu klicken. Darüber hinaus benötigt der von Page veröffentlichte Beispielcode eine weitere schädliche Datei, die ein Angreifer seinem Opfer aber unter Umständen ohne großen Aufwand unterschieben kann.

Nutzer, die Kontaktdaten regelmäßig per vCard-Datei austauschen, sollten bis zur Verfügbarkeit eines Patches bei Visitenkarten aus ihnen unbekannten Quellen besonders vorsichtig sein.

Zu den betroffenen Windows-Versionen machte weder der Forscher noch ZDI angaben. Es ist aber davon auszugehen, dass der Fehler auch unter Windows 7 und 8.1 auftritt. Ob ein Fix Windows 10 vorbehalten ist oder als separates Update auch für die älteren OS-Versionen nachgereicht wird, bleibt abzuwarten.