Windows-Sicherheit durch Modifikation eines einzelnen Bits von Forschern umgangen

Die Sicherheit von Windows-Betriebssystemen von XP bis zur aktuellen Version Windows 10 kann mit einem einzigen Bit umgangen werden

Microsoft hat am Dienstag eine Schwachstelle zur Erhöhung von Rechten in seinen Sicherheitsbulletins veröffentlicht, die laut Forschern von böswilligen Akteuren ausgenutzt werden kann, um alle Sicherheitsmaßnahmen im Windows-Betriebssystem durch die Modifikation eines einzelnen Bits zu umgehen.

Microsoft sagt, dass ein Angreifer, der es schafft, sich in das Zielsystem einzuloggen, „erhöhte Berechtigungen erlangen und beliebige Mengen an Kernel-Speicher lesen“ kann, was es ihm ermöglichen würde, Software zu installieren, Daten anzuzeigen und zu ändern sowie neue Konten mit vollständigen Administratorrechten zu erstellen.

Udi Yavo, der Chief Technology Officer der Sicherheitsfirma Ensile, sagt: „Die Schwachstelle (CVE-2015-0057) wird als „wichtig“ eingestuft, was Angreifern die vollständige Kontrolle über die Maschinen der Opfer geben könnte.“

Yavo fügte weiter hinzu: „Ein Bedrohungsakteur, der Zugriff auf eine Windows-Maschine erhält (zum Beispiel durch eine Phishing-Kampagne), kann diese Schwachstelle ausnutzen, um alle Windows-Sicherheitsmaßnahmen zu umgehen und damit Abwehrmaßnahmen wie Sandboxing, Kernel-Trennung und Speicher-Randomisierung zu überwinden.“

Yavo fuhr fort: „Interessanterweise erfordert der Exploit nur die Modifikation eines einzelnen Bits des Windows-Betriebssystems.“

Der Fehler bestand im grafischen Benutzeroberflächen (GUI)-Modul des Win32k.sys Moduls innerhalb des Windows-Kernels, das unter anderem die vertikalen und horizontalen Scrollleisten von Windows verwaltet. Der Fehler befindet sich tatsächlich in der xxxEnableWndSBArrows Funktion, die den Zustand beider Scrollleisten durch einen Aufruf ändern könnte.

Der Exploit funktioniert auf allen Versionen des Betriebssystems, von Windows XP bis zur 64-Bit-Version der neuesten Windows 10 Technical Preview (mit aktivierten Schutzmaßnahmen). Die Angriffsmethode kann verwendet werden, um Kernel-Schutzmaßnahmen wie Kernel Data Execution Prevention (DEP), Kernel Address Space Layout Randomization (KASLR), Mandatory Integrity Control (MIC), Supervisor Mode Execution Protection (SMEP) und NULL-Dereferenzierungsschutz zu umgehen, so der Forscher.

„Wir haben gezeigt, dass selbst ein kleiner Fehler verwendet werden kann, um die vollständige Kontrolle über jedes Windows-Betriebssystem zu erlangen“, sagte Yavo. Er kommentierte auch, dass Microsofts Bemühungen, sein Betriebssystem sicherer zu machen, die Messlatte erheblich angehoben haben und das Schreiben zuverlässiger Exploits viel schwieriger gemacht haben als zuvor. Leider werden diese Methoden Angreifer nicht aufhalten. Wir prognostizieren, dass Angreifer weiterhin Exploits in ihre Kriminalitätskits integrieren werden, was einen Kompromiss unvermeidlich macht.“

Die Forscher haben auch ein PoC-Video veröffentlicht, das die Schwachstelle demonstriert, obwohl es tatsächlich keinen sensiblen Code offenlegt, sondern die Ausnutzung der Erhöhung von Rechten auf einer Maschine zeigt, die die 64-Bit-Version von Windows 10 Technical Preview ausführt.

Die Patch-Probleme von Microsoft sind nichts Neues, zuvor, im Januar, demonstrierte der Bromium-Sicherheitsforscher Jared DeMott, dass die Heap-Isolation und die Delay-Free-Mitigationen umgangen werden können.

CVE-2015-0057 ist nicht die einzige interessante Schwachstelle, die Microsoft am Dienstag gepatcht hat. Das Unternehmen hat auch Updates für eine kritische Schwachstelle zur Remote-Code-Ausführung (CVE-2015-0008) veröffentlicht, die durch die Art und Weise verursacht wird, wie die Gruppenrichtlinie Daten empfängt und anwendet, wenn ein domänengebundenes System eine Verbindung zu einem Domänencontroller herstellt. Andererseits hat Microsoft immer noch eine kürzlich offengelegte universelle Cross-Site-Scripting (UXSS)-Schwachstelle, die Internet Explorer betrifft, nicht behoben.