Abo
  • Services:

Patch-Analyse: Sicherheitslücken automatisch ausnutzen

Forscher erzeugten Schadcode automatisiert basierend auf Sicherheits-Patches

Anhand von Sicherheits-Patches für Software haben Forscher einen Automatismus entwickelt, um Schadcode zu generieren, der das zu schließende Sicherheitsleck ausnutzt. Solche Mechanismen könnten schon bald eine Gefahr für Anwender bedeuten, weil dadurch wenige Minuten nach Bereitstellung eines Patches bereits passender Schadcode im Internet auftauchen könnte.

Artikel veröffentlicht am ,

Gemeinsam haben die Forscher David Brumley und Pongsin Poosankam von der Carnegie Mellon School of Computer Science, Dawn Song von der Berkeley-Universität von Kalifornien sowie Jiang Zheng von der Universität in Pittsburgh untersucht, ob sich Sicherheitslücken automatisiert ausnutzen lassen, indem ein Sicherheits-Patch mit der Datei verglichen wird, in der ein Sicherheitsleck geschlossen werden soll.

Stellenmarkt
  1. e-das GmbH, Winterbach
  2. KW-Commerce GmbH, Berlin

Entsprechende Verfahren wurden auf fünf unterschiedliche Microsoft-Produkte angewandt, für die der Konzern Sicherheits-Patches bereitgestellt hatte. Bei diesen Verfahren gelang es wiederholt, innerhalb weniger Minuten automatisiert die betreffenden Sicherheitslecks auszunutzen und Applikationen zum Absturz zu bringen, wenn der Patch noch nicht eingespielt war. Nach mehreren Versuchen war es dann auch möglich, Schadcode einzuschleusen und auszuführen, was ebenfalls nach wenigen Minuten erledigt war. Die Forscher sehen damit ihre Hypothese belegt und warnen davor, dass diese Mechanismen schon bald Anwendung finden könnten.

Hierbei sehen sie als Problem, dass Anwender einem hohen Risiko ausgesetzt sind, wenn sie Sicherheits-Patches nicht unverzüglich einspielen. Hierbei helfe die automatische Update-Funktion des Betriebssystems nur bedingt, weil die Aktualisierungen nur schrittweise verteilt würden. Mehr als 80 Prozent der Windows-Anwender erhalten Patches demnach erst 24 Stunden nachdem diese veröffentlicht wurden. Dadurch hätten Angreifer bis zu 24 Stunden lang Zeit, eine solche Sicherheitslücke auszunutzen.

Daher fordern sie, dass Microsoft Sicherheits-Patches unmittelbar mit der Verfügbarkeit bei allen Anwendern einspielt, um das Risiko zu verringern, Opfer einer entsprechenden Attacke zu werden. Bei Serverprodukten und bei Applikationen im Unternehmenseinsatz ist ein solches Vorgehen allerdings kaum möglich, weil die Patches zuvor auf Verträglichkeit mit anderer Software geprüft werden müssen.

Ein ausführliches PDF-Dokument beschreibt die Vorgehensweise der Forscher.



Anzeige
Spiele-Angebote
  1. 54,99€ mit Vorbesteller-Preisgarantie (Release 05.10.)
  2. (-80%) 3,99€
  3. (-35%) 19,49€
  4. 53,99€ statt 69,99€

huahuahua 03. Mai 2008

Na, Forscher haben ja ein tolles Leben; da werden Millionen Forschungsgelder in...

childinsilence 25. Apr 2008

Naja es war bekannt, dass so etwas möglich ist, aber nicht ob es bereits von Hackern...

antitroll 25. Apr 2008

Das Problem ist aber eher zeitlicher Natur: (1) Sicherheitslücke entdeckt -> (2) Bugfix...

antitroll 25. Apr 2008

Mal ganz davon abgesehen ob das mit den Raubkopierern stimmt oder nicht: Dieses "immer...

Sukram71 25. Apr 2008

Wieso hat es eigentlich noch keiner geschafft, seine Schadsoftware als Windows-Update zu...


Folgen Sie uns
       


Amazons Echo Dot (2018) - Test

Echo Dot steht eigentlich für muffigen Klang. Das ändert sich grundlegend mit dem neuen Echo Dot. Amazons neuer Alexa-Lautsprecher ist damit durchaus zum Musikhören geeignet. Für einen 60 Euro teuren Lautsprecher bietet der neue Echo Dot eine gute Klangqualität.

Amazons Echo Dot (2018) - Test Video aufrufen
HP Elitebook 840 und Toshiba Tecra X40: Es kann nur eines geben
HP Elitebook 840 und Toshiba Tecra X40
Es kann nur eines geben

Nicht nur Lenovo baut gute Business-Notebooks, auch HP und Toshiba haben Produkte, die vergleichbar sind. Wir stellen je ein Modell der beiden Hersteller mit ähnlicher Hardware gegenüber: das eine leichter, das andere mit überlegenem Akku - ein knapper Gewinner nach Punkten.
Ein Test von Oliver Nickel

  1. Portégé X20W-D-145 Toshiba stellt alte Hardware im flexiblen Chassis vor
  2. Tecra X40-E-10W Toshibas 14-Zoll-Thinkpad-Pendant kommt mit LTE
  3. Dell, HP, Lenovo AMDs Ryzen Pro Mobile landet in allen Business-Notebooks

Xilinx-CEO Victor Peng im Interview: Wir sind überall
Xilinx-CEO Victor Peng im Interview
"Wir sind überall"

Programmierbare Schaltungen, kurz FPGAs, sind mehr als nur Werkzeuge, um Chips zu entwickeln: Im Interview spricht Xilinx-CEO Victor Peng über überholte Vorurteile, den Erfolg des Interposers, die 7-nm-Fertigung und darüber, dass nach dem Tape-out der Spaß erst beginnt.
Ein Interview von Marc Sauter

  1. Versal-FPGAs Xilinx macht Nvidia das AI-Geschäft streitig
  2. Project Everest Xilinx bringt ersten FPGA mit 7-nm-Technik

Athlon 200GE im Test: Celeron und Pentium abgehängt
Athlon 200GE im Test
Celeron und Pentium abgehängt

Mit dem Athlon 200GE belebt AMD den alten CPU-Markennamen wieder: Der Chip gefällt durch seine Zen-Kerne und die integrierte Vega-Grafikeinheit, die Intel-Konkurrenz hat dem derzeit preislich wenig entgegenzusetzen.
Ein Test von Marc Sauter

  1. AMD Threadripper erhalten dynamischen NUMA-Modus
  2. HP Elitedesk 705 Workstation Edition Minitower mit AMD-CPU startet bei 680 Euro
  3. Ryzen 5 2600H und Ryzen 7 2800H 45-Watt-CPUs mit Vega-Grafik für Laptops sind da

    •  /