Binary Planting

Microsofts Workaround lässt einzelne Anwendungen ausfallen

Kein Ende in Sicht. Während erste Softwarehersteller tatsächlich schon Patches für Binary Planting alias DLL-Hijacking veröffentlichen, gibt es für das Grundproblem keine Lösung. Der Microsoft-Workaround hat Nachteile und lässt Anwendungen sogar ausfallen.

Anzeige

Microsofts einziger Workaround für eine konzeptbedingte Sicherheitslücke lässt einige bekannte Anwendungen ausfallen. Das passiert, wenn der Anwender den Registrierungseintrag CWDIllegalInDllSearch global setzt. CWD steht für Current Working Directory (Arbeitsverzeichnis) und ist nicht mit dem Programmverzeichnis zu verwechseln. Einigen Berichten zufolge funktionieren beim Ausschluss des Arbeitsverzeichnisses einige Programme von Microsoft nicht mehr und auch der Steamservice fällt anschließend aus. Zudem soll das Java-Plugin nicht mehr korrekt arbeiten.

Wir konnten das mit unserem Testsystem, ein Windows 7 in der 64-Bit-Version, zum Teil auf lokaler Ebene nachvollziehen. Nachdem CWDIllegalInDllSearch global auf 0xFFFFFFFF gesetzt und damit das Arbeitsverzeichnis im DLL-Suchpfad komplett ausgeschlossen wurde, störte sich Googles Chrome regelmäßig an einer fehlenden DLL. Der Browser blieb zwar benutzbar, aber jede Tab-Öffnung und jeder Adresswechsel waren mit einer Fehlermeldung verbunden. Ein kurzer Test mit Starcraft 2 sorgte für einen Ausfall. Der Blizzard-Updater arbeitete zwar, aber das Spiel quittierte einen Startversuch mit einer Fehlermeldung. Valves Steam-Service wollte ebenfalls nicht mehr arbeiten. Steam-Spiele starteten dafür weiterhin, das muss allerdings nicht für alle Spiele gelten. Probleme mit Office 2010 gab es hingegen nicht.

Damit ist verständlich, warum Microsoft das Arbeitsverzeichnis nicht selbst aus dem DLL-Suchpfad herauspatcht. Für Systemadministratoren bleibt nur übrig, alle Anwendungen auf Schwachstellen hin zu überprüfen und für jede einzelne Anwendung CWDIllegalInDllSearch entsprechend zu setzen. Alternativ kann das lokale Risiko in Kauf genommen werden, indem nur SMB oder Webdav-Freigaben nicht mehr als Arbeitsverzeichnis verwendet werden. Dafür muss CWDIllegalInDllSearch entweder auf 1 oder 2 gesetzt werden. Doch auch hier könnte es unerwartete Nebeneffekte geben.

Neben dem Videolan-Projekt hat auch das µTorrent-Projekt äußerst schnell reagiert und die Version 2.0.4 veröffentlicht. Zahlreiche andere Programme bleiben weiterhin anfällig.

Die Liste anfälliger Anwendungen ist bereits so lang, dass die Exploit-DB aufgegeben hat. Statt jedem Exploit einen Eintrag zu gewähren, gibt es nur noch den aktualisierten Blogeintrag. Ein Luxus, den sich die Vergeber der CVE-IDs nicht gönnen wollen. Sie werden für jedes einzelne anfällige Programm eine CVE-ID vergeben, die für die Auflistung der Sicherheitslücken verwendet wird.

Eine weitere Liste verwundbarer Anwendungen findet sich unter corelan.be. Es werden hier nur Anwendungen gelistet, die auf platzierte DLLs im Arbeitsverzeichnis anfällig sind. Hauptproblem sind fehlende DLLs, die Anwendungen suchen, obwohl sie auf einigen Systemen gar nicht existieren. Die können einfach im Arbeitsverzeichnis einem Nutzer untergeschoben werden.


gizmore 07. Sep 2010

Ich bin (immer noch) der Meinung das Redmond das leicht Patchen könnte. Wenn CWD...

düdelüüüü 30. Aug 2010

Schlimmer geht immer...trotzdem wen meinst du damit denn? Shortnews?

hui 30. Aug 2010

Nachtrag: Nach intensiver Recherche kann ich zu meiner Schadne nur erkennen, dass du mir...

dergenervte 30. Aug 2010

Vielleicht liest Du mal hier. Für Dich sollte das reichen. http://forum.golem.de...

Bouncy 30. Aug 2010

gar nicht! plöder fantroll :D

Kommentieren



Anzeige

  1. SharePoint Inhouse Consultant (m/w)
    BEUMER Group GmbH & Co. KG, Beckum (Raum Münster, Dortmund, Bielefeld)
  2. IT-Senior Consultant CRM (m/w)
    Media-Saturn IT Services GmbH, Ingolstadt
  3. (Junior) Consultant (m/w) Big Data / Business Intelligence / Data Warehouse
    saracus consulting GmbH, Münster und Baden-Dättwil (Schweiz)
  4. Informatikerin / Informatiker oder Wirtschaftsinformatikerin / Wirtschaftsinformatiker
    Otto-Friedrich-Universität Bamberg, Bamberg

 

Detailsuche


Folgen Sie uns
       


  1. Verbraucherzentrale

    Auf Schreiben wegen Rundfunkbeitrag reagieren

  2. Filmstreaming

    Erste Preise für Netflix Deutschland sichtbar

  3. Alone in the Dark

    Atari setzt auf doppelten Horror

  4. LMDE

    Linux Mint wechselt zu Debian Stable neben Ubuntu

  5. Preisvergleich

    Ergebnisse in Preissuchmaschinen nicht zuverlässig

  6. Akoya P2213T

    Medion stellt Windows-Convertible für 400 Euro vor

  7. Hacker

    Lizard Squad offenbar verhaftet

  8. Lennart Poettering

    Systemd und Btrfs statt Linux-Distributionen mit Paketen

  9. Dircrypt

    Ransomware liefert Schlüssel mit

  10. Wegen Computerabstürzen

    Nasa will Speicher eines Marsroboters neu formatieren



Haben wir etwas übersehen?

E-Mail an news@golem.de



Benq FHD Wireless Kit im Test: Full-HD bequem drahtlos durchs halbe Haus funken
Benq FHD Wireless Kit im Test
Full-HD bequem drahtlos durchs halbe Haus funken
  1. Project Ara Rockchip und Toshiba in Googles modularem Smartphone
  2. Google und Linaro Android-Fork für Modulsmartphone Ara

Alma und E-ELT: Auf den Spuren der Superteleskope
Alma und E-ELT
Auf den Spuren der Superteleskope
  1. Saturn Mit dem Enterprise-Warpcore Planeten erforschen
  2. Urknall Waren die Spuren des Urknalls nur Staubmuster?
  3. Astronomie Auf der Suche nach außerirdischer Luftverschmutzung

Test Infamous First Light: Neonbunter Actionspaß
Test Infamous First Light
Neonbunter Actionspaß
  1. Infamous Erweiterung First Light leuchtet Ende August 2014

    •  / 
    Zum Artikel