Binary Planting

Microsofts Workaround lässt einzelne Anwendungen ausfallen

Kein Ende in Sicht. Während erste Softwarehersteller tatsächlich schon Patches für Binary Planting alias DLL-Hijacking veröffentlichen, gibt es für das Grundproblem keine Lösung. Der Microsoft-Workaround hat Nachteile und lässt Anwendungen sogar ausfallen.

Anzeige

Microsofts einziger Workaround für eine konzeptbedingte Sicherheitslücke lässt einige bekannte Anwendungen ausfallen. Das passiert, wenn der Anwender den Registrierungseintrag CWDIllegalInDllSearch global setzt. CWD steht für Current Working Directory (Arbeitsverzeichnis) und ist nicht mit dem Programmverzeichnis zu verwechseln. Einigen Berichten zufolge funktionieren beim Ausschluss des Arbeitsverzeichnisses einige Programme von Microsoft nicht mehr und auch der Steamservice fällt anschließend aus. Zudem soll das Java-Plugin nicht mehr korrekt arbeiten.

Wir konnten das mit unserem Testsystem, ein Windows 7 in der 64-Bit-Version, zum Teil auf lokaler Ebene nachvollziehen. Nachdem CWDIllegalInDllSearch global auf 0xFFFFFFFF gesetzt und damit das Arbeitsverzeichnis im DLL-Suchpfad komplett ausgeschlossen wurde, störte sich Googles Chrome regelmäßig an einer fehlenden DLL. Der Browser blieb zwar benutzbar, aber jede Tab-Öffnung und jeder Adresswechsel waren mit einer Fehlermeldung verbunden. Ein kurzer Test mit Starcraft 2 sorgte für einen Ausfall. Der Blizzard-Updater arbeitete zwar, aber das Spiel quittierte einen Startversuch mit einer Fehlermeldung. Valves Steam-Service wollte ebenfalls nicht mehr arbeiten. Steam-Spiele starteten dafür weiterhin, das muss allerdings nicht für alle Spiele gelten. Probleme mit Office 2010 gab es hingegen nicht.

Damit ist verständlich, warum Microsoft das Arbeitsverzeichnis nicht selbst aus dem DLL-Suchpfad herauspatcht. Für Systemadministratoren bleibt nur übrig, alle Anwendungen auf Schwachstellen hin zu überprüfen und für jede einzelne Anwendung CWDIllegalInDllSearch entsprechend zu setzen. Alternativ kann das lokale Risiko in Kauf genommen werden, indem nur SMB oder Webdav-Freigaben nicht mehr als Arbeitsverzeichnis verwendet werden. Dafür muss CWDIllegalInDllSearch entweder auf 1 oder 2 gesetzt werden. Doch auch hier könnte es unerwartete Nebeneffekte geben.

Neben dem Videolan-Projekt hat auch das µTorrent-Projekt äußerst schnell reagiert und die Version 2.0.4 veröffentlicht. Zahlreiche andere Programme bleiben weiterhin anfällig.

Die Liste anfälliger Anwendungen ist bereits so lang, dass die Exploit-DB aufgegeben hat. Statt jedem Exploit einen Eintrag zu gewähren, gibt es nur noch den aktualisierten Blogeintrag. Ein Luxus, den sich die Vergeber der CVE-IDs nicht gönnen wollen. Sie werden für jedes einzelne anfällige Programm eine CVE-ID vergeben, die für die Auflistung der Sicherheitslücken verwendet wird.

Eine weitere Liste verwundbarer Anwendungen findet sich unter corelan.be. Es werden hier nur Anwendungen gelistet, die auf platzierte DLLs im Arbeitsverzeichnis anfällig sind. Hauptproblem sind fehlende DLLs, die Anwendungen suchen, obwohl sie auf einigen Systemen gar nicht existieren. Die können einfach im Arbeitsverzeichnis einem Nutzer untergeschoben werden.


gizmore 07. Sep 2010

Ich bin (immer noch) der Meinung das Redmond das leicht Patchen könnte. Wenn CWD...

düdelüüüü 30. Aug 2010

Schlimmer geht immer...trotzdem wen meinst du damit denn? Shortnews?

hui 30. Aug 2010

Nachtrag: Nach intensiver Recherche kann ich zu meiner Schadne nur erkennen, dass du mir...

dergenervte 30. Aug 2010

Vielleicht liest Du mal hier. Für Dich sollte das reichen. http://forum.golem.de...

Bouncy 30. Aug 2010

gar nicht! plöder fantroll :D

Kommentieren



Anzeige

  1. SAP Berater/in QM-Prozesse und Lösungen
    Schaeffler Technologies AG & Co. KG, Nürnberg
  2. Abteilungsleiter (m/w) IT-Betrieb
    Landwirtschaftliche Rentenbank, Frankfurt am Main
  3. Systemadvisor (m/w) IT for Manufacturing
    Robert Bosch GmbH, Stuttgart-Feuerbach
  4. Resident Engineer (m/w) - VW Group
    Harman Becker Automotive Systems GmbH, Hildesheim

 

Detailsuche


Hardware-Angebote
  1. Crucial MX100 256GB zum Bestpreis bei Redcoon
    95,50€
  2. PCGH-Supreme-PC GTX980-Edition
    (Core i7-4790K + Geforce GTX 980)
  3. Medion Erazer X7835 PCGH-Notebook mit Geforce GTX 980M und Core i7-4710MQ
    1999,00€

 

Weitere Angebote


Folgen Sie uns
       


  1. Patentanmeldung

    Apples Smart Cover soll wirklich schlau werden

  2. OS X

    Apple will Thunderstrike-Exploits mit Patch verhindern

  3. Soziales Netzwerk

    Justizministerium kritisiert Facebooks neue AGB

  4. Raumfahrt

    Nasa will Mars-Rover mit Helikopter ausstatten

  5. Windows Phone und Tablets

    Die Dropbox-App ist da

  6. Sony Alpha 7 II im Test

    Fast ins Schwarze getroffen

  7. Apple

    Homekit will nicht in jedes Smart Home einziehen

  8. Firmware

    Update für Samsungs NX1 verbessert Videofunktionen enorm

  9. Systemkamera

    Olympus kündigt neues Modell im OM-D-System an

  10. Lieferprobleme

    Drogendrohnen in Mexiko und Norddeutschland abgestürzt



Haben wir etwas übersehen?

E-Mail an news@golem.de



IMHO: Juhu, DirectX 12 gibt's auch für Windows-7-Besitzer
IMHO
Juhu, DirectX 12 gibt's auch für Windows-7-Besitzer
  1. Benchmark-Beta DirectX 12 und Mantle gleich schnell in 3DMark
  2. Grafikschnittstelle AMD zieht Aussage zu DirectX 12 zurück
  3. Grafikschnittstelle Kein DirectX 12 für Windows 7

Samsung Gear VR im Test: Ich liebe das umschnallbare Heimkino!
Samsung Gear VR im Test
Ich liebe das umschnallbare Heimkino!
  1. Für 200 US-Dollar verfügbar Samsungs Gear VR ist nicht für Radfahrer geeignet
  2. Innovator Edition Gear VR wird Anfang Dezember 2014 in den USA ausgeliefert
  3. Project Beyond Frisbee-Kamera für Samsungs Gear VR

Asus Eeebook X205TA im Test: Die gelungene Rückkehr des Netbooks
Asus Eeebook X205TA im Test
Die gelungene Rückkehr des Netbooks

    •  / 
    Zum Artikel