Microsoft Windows Nulltagesanfälligkeit über Twitter aufgedeckt

Ungepatchte Schwachstelle im Microsoft Windows Task-Manager auf Twitter offengelegt

Ein wütender Twitter-Nutzer ‚SandboxEscaper‘ hat eine lokale Privilegieneskalationsanfälligkeit im Microsoft Windows Task-Manager aufgedeckt, die es einem Angreifer ermöglichen könnte, administrativen Zugriff auf ein Windows-System zu erhalten. Der inzwischen gelöschte Tweet enthielt einen Link zum Proof-of-Concept (PoC) für die angebliche Zero-Day-Anfälligkeit, die auf GitHub veröffentlicht wurde. Der Exploit-Code wurde jedoch jetzt von GitHub entfernt.

Der Forscher, der behauptet, müde von der IT-Sicherheitsarbeit zu sein, scheint frustriert über Microsofts Programm für Bug-Bountys zu sein:

Ps: Microsoft ist dumm und ich kann es nicht erwarten, Fehler in ihrer Software zu verkaufen.

— SandboxEscaper (@SandboxEscaper) 27. August 2018

Die gefundene Schwachstelle befindet sich in der erweiterten lokalen Prozeduraufruf-Schnittstelle (ALPC) des Taskmanagers, die einem Angreifer mit lokalen Benutzerzugriffsrechten ermöglicht, Zugriff auf erhöhte (SYSTEM-)Privilegien zu erhalten.

Der Forscher Will Dormann, ein Sicherheitsanalyst des U.S. Computer Emergency Readiness Teams (US-CERT), bestätigte, dass der Exploit-Code auf vollständig aktualisierten 64-Bit-Systemen von Windows 10 und Windows Server 2016 funktioniert. Er sagte auch, dass der Exploit-Code modifiziert werden kann, um auf anderen Windows-Versionen zu laufen.

Derzeit gibt es keine bekannten Patches oder spezifischen Lösungen, um die von CERT bestätigte Sicherheitsanfälligkeit zu beheben.

Kevin Beaumont, ein in Großbritannien ansässiger Sicherheitsarchitekt, bestätigte ebenfalls den Exploit-Code und veröffentlichte den Sicherheitsanfälligkeitscode auf GitHub zur einfachen Analyse.

Wie der Verwundbarkeitscode entdeckt werden kann, riet Beaumont: "Wenn Sie Microsoft Sysmon verwenden, suchen Sie nach spoolsv.exe, das abnormale Prozesse erzeugt - das ist ein sicheres Zeichen dafür, dass dieser Exploit verwendet wird (oder ein anderer Spooler-Exploit). Ebenso, wenn Sie Sysmon verwenden, suchen Sie nach connhost.exe (Aufgabenplaner), das unter abnormen Prozessen (z.B. dem Druckspooler) erzeugt wird."

Die tatsächliche Lösung muss von Microsoft kommen. Ein Microsoft-Vertreter, der den Fehler anerkannt hat, sagte Berichten zufolge gegenüber The Register, dass das Unternehmen „betroffene Geräte so schnell wie möglich proaktiv aktualisieren wird. Unsere Standardrichtlinie ist es, Lösungen gemäß unserem aktuellen Update-Dienstag-Plan bereitzustellen."

Der nächste geplante Microsoft Patch Tuesday wird voraussichtlich am 11. September stattfinden. Mit anderen Worten, dies würde den Angreifern ausreichend Zeit geben, den im Umlauf befindlichen Schwachstellen-Code auszunutzen.

„Mit der neuesten veröffentlichten Windows-OS-Sicherheitslücke müssen IT-Profis besonders darauf achten, wie sich ihre Netzwerkbenutzer verhalten“, sagte Justin Jett, Direktor für Prüfung und Compliance bei Plixer. „Der von dem ‚Forscher‘ SandboxEscaper auf Twitter veröffentlichte PoC gibt böswilligen Akteuren den notwendigen Hebel, um in Organisationen einzudringen und wertvolle Informationen zu stehlen.“

„Die Analyse des Netzwerkverkehrs sollte weiterhin verwendet werden, um anomalem Verkehr im Netzwerk auf die Spur zu kommen und um zu erkennen, wo Benutzer sich auf eine Weise verhalten, die sie historisch nicht getan haben“, fügte Jett hinzu. „Solches Verhalten könnte ein starkes Indiz dafür sein, dass die Schwachstelle, die es Hackern erlaubt, ihre Berechtigungen auf einem System zu erhöhen, möglicherweise ausgenutzt wird.“

Wir müssen warten, bis Microsoft reagiert, aber wenn bis zum geplanten Patch-Dienstag am 11. September nichts veröffentlicht wird, haben Hacker ein zweiwöchiges Zeitfenster, um diese Schwachstelle auszunutzen.

Auch lesen– Wie behebt man das Problem, dass die Windows 10-Taskleiste nicht funktioniert?