• IT-Karriere:
  • Services:

Patch-Analyse: Sicherheitslücken automatisch ausnutzen

Forscher erzeugten Schadcode automatisiert basierend auf Sicherheits-Patches

Anhand von Sicherheits-Patches für Software haben Forscher einen Automatismus entwickelt, um Schadcode zu generieren, der das zu schließende Sicherheitsleck ausnutzt. Solche Mechanismen könnten schon bald eine Gefahr für Anwender bedeuten, weil dadurch wenige Minuten nach Bereitstellung eines Patches bereits passender Schadcode im Internet auftauchen könnte.

Artikel veröffentlicht am ,

Gemeinsam haben die Forscher David Brumley und Pongsin Poosankam von der Carnegie Mellon School of Computer Science, Dawn Song von der Berkeley-Universität von Kalifornien sowie Jiang Zheng von der Universität in Pittsburgh untersucht, ob sich Sicherheitslücken automatisiert ausnutzen lassen, indem ein Sicherheits-Patch mit der Datei verglichen wird, in der ein Sicherheitsleck geschlossen werden soll.

Stellenmarkt
  1. Landeswohlfahrtsverband Hessen (LWV), Kassel
  2. Proximity Technology GmbH, Düsseldorf

Entsprechende Verfahren wurden auf fünf unterschiedliche Microsoft-Produkte angewandt, für die der Konzern Sicherheits-Patches bereitgestellt hatte. Bei diesen Verfahren gelang es wiederholt, innerhalb weniger Minuten automatisiert die betreffenden Sicherheitslecks auszunutzen und Applikationen zum Absturz zu bringen, wenn der Patch noch nicht eingespielt war. Nach mehreren Versuchen war es dann auch möglich, Schadcode einzuschleusen und auszuführen, was ebenfalls nach wenigen Minuten erledigt war. Die Forscher sehen damit ihre Hypothese belegt und warnen davor, dass diese Mechanismen schon bald Anwendung finden könnten.

Hierbei sehen sie als Problem, dass Anwender einem hohen Risiko ausgesetzt sind, wenn sie Sicherheits-Patches nicht unverzüglich einspielen. Hierbei helfe die automatische Update-Funktion des Betriebssystems nur bedingt, weil die Aktualisierungen nur schrittweise verteilt würden. Mehr als 80 Prozent der Windows-Anwender erhalten Patches demnach erst 24 Stunden nachdem diese veröffentlicht wurden. Dadurch hätten Angreifer bis zu 24 Stunden lang Zeit, eine solche Sicherheitslücke auszunutzen.

Daher fordern sie, dass Microsoft Sicherheits-Patches unmittelbar mit der Verfügbarkeit bei allen Anwendern einspielt, um das Risiko zu verringern, Opfer einer entsprechenden Attacke zu werden. Bei Serverprodukten und bei Applikationen im Unternehmenseinsatz ist ein solches Vorgehen allerdings kaum möglich, weil die Patches zuvor auf Verträglichkeit mit anderer Software geprüft werden müssen.

Ein ausführliches PDF-Dokument beschreibt die Vorgehensweise der Forscher.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 68,23€ (Release 03.12.)
  2. 4,25€
  3. 52,79€
  4. 6,49€

huahuahua 03. Mai 2008

Na, Forscher haben ja ein tolles Leben; da werden Millionen Forschungsgelder in...

childinsilence 25. Apr 2008

Naja es war bekannt, dass so etwas möglich ist, aber nicht ob es bereits von Hackern...

antitroll 25. Apr 2008

Das Problem ist aber eher zeitlicher Natur: (1) Sicherheitslücke entdeckt -> (2) Bugfix...

antitroll 25. Apr 2008

Mal ganz davon abgesehen ob das mit den Raubkopierern stimmt oder nicht: Dieses "immer...

Sukram71 25. Apr 2008

Wieso hat es eigentlich noch keiner geschafft, seine Schadsoftware als Windows-Update zu...


Folgen Sie uns
       


Android Smartphone als Webcam nutzen - Tutorial

Wir erklären in einem kurzen Video, wie sich das Smartphone für Videokonferenzen unter Windows nutzen lässt.

Android Smartphone als Webcam nutzen - Tutorial Video aufrufen
Zenbook Flip UX371E im Test: Asus steht sich selbst im Weg
Zenbook Flip UX371E im Test
Asus steht sich selbst im Weg

Das Asus Zenbook Flip UX371E verbindet eines der besten OLED-Displays mit exzellenter Tastatur-Trackpad-Kombination. Wäre da nicht ein Aber.
Ein Test von Oliver Nickel

  1. Vivobook S14 S433 und S15 S513 Asus bringt Tiger-Lake-Notebooks ab 700 Euro
  2. Asus Expertbook P1 350-Euro-Notebook tauscht gutes Display gegen gesteckten RAM
  3. Asus Zenfone 7 kommt mit Dreifach-Klappkamera

Made in USA: Deutsche Huawei-Gegner schweigen zu Juniper-Hintertüren
Made in USA
Deutsche Huawei-Gegner schweigen zu Juniper-Hintertüren

Zu unbequemen Fragen schweigen die Transatlantiker Manuel Höferlin, Falko Mohrs, Metin Hakverdi, Norbert Röttgen und Friedrich Merz. Das wirkt unredlich.
Eine Recherche von Achim Sawall

  1. Sandworm Hacker nutzen alte Exim-Sicherheitslücke aus

No One Lives Forever: Ein Retrogamer stirbt nie
No One Lives Forever
Ein Retrogamer stirbt nie

Kompatibilitätsprobleme und schlimme Sprachausgabe - egal. Golem.de hat den 20 Jahre alten Shooter-Klassiker No One Lives Forever trotzdem neu gespielt.
Von Benedikt Plass-Fleßenkämper

  1. Heimcomputer Retro Games plant Amiga-500-Nachbau
  2. Klassische Spielkonzepte Retro, brandneu
  3. Gaming-Handheld Analogue Pocket erscheint erst 2021

    •  /