• IT-Karriere:
  • Services:

Buffer Overflow

Kritische Sicherheitslücke in Windows (Update)

Das Arkon-Blog hat eine Sicherheitslücke in Windows veröffentlicht, mit der sich möglicherweise fremder Code auf Windows-Systemen ausführen lässt. Betroffen ist auch Windows 7 mit aktuellen Patches.

Artikel veröffentlicht am ,

Die im Arkon-Blog unter der Überschrift Heapos Forever veröffentlichte Sicherheitslücke wurde mittlerweile von Sicherheitsunternehmen bestätigt, darunter Vupen und Secunia. Demnach erlaubt die Sicherheitslücke eine Ausweitung der Rechte des aktuellen Nutzers, möglicherweise aber auch das Ausführen von fremdem Code auf verwundbaren Systemen.

Stellenmarkt
  1. ING-DiBa AG, Nürnberg
  2. Landeshauptstadt München, München

Der Fehler steckt in der Datei win32k.sys und tritt innerhalb der Funktion CreateDIBPalette() auf, wenn Farbwerte in einen zuvor mit fester Länge angelegten Puffer kopiert werden. Ausnutzen lässt sich dies dann über die Funktion GetClipboardData(), wenn eine große Zahl an Farben angefordert wird.

Secunia und Vupen bestätigen die Sicherheitslücke für alle vollständig gepatchten Systeme mit Windows XP SP3, Windows Server 2003 R2 Enterprise SP2, Windows Vista Business SP1, Windows 7 und Windows Server 2008 SP2, also alle aktuell unterstützten Windows-Versionen.

Ein Patch für das Problem existiert derzeit nicht. Microsoft hat für den 10. August 2010 die Veröffentlichung von 14 Patches angekündigt, mit denen 34 Sicherheitslücken in Microsoft-Produkten geschlossen werden sollen. Ob die von Arkon gemeldete Lücke darunter ist, ist derzeit nicht bekannt.

Nachtrag vom 7. August 2010, 18:30 Uhr:

Dass sich die Sicherheitslücke zum Ausführen von Code eignet, bezweifelt deren Entdecker Gil Dabah alias Arkon in Reaktion auf die Security-Advisorys von Vulpen und Secunia. Es sei nicht trivial, Code auszuführen, auch da jedes vierte Byte, das kopiert, den Wert 4 habe. Arkon geht davon aus, dass es unmöglich ist, die Schwachstelle für einen Exploit zu nutzen, der Code ausführt. Daher habe er die Sicherheitslücke auch ohne Bedenken veröffentlicht. Verhindern lasse sich das Problem, indem der Zugriff auf die Zwischenablage oder das Ändern der Bildschirmauflösung deaktiviert wird.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. 419,00€ (Bestpreis!)
  3. (u. a. Asus Rog Strix X570-F + Ryzen 7 3700X für 555,00€, Asus Tuf B450-Plus + Ryzen 7 2700 für...

albert einspruch 09. Aug 2010

Ja in eurer idealen Linuxtraumwelt vielleicht, aber nicht in der Realität.

0xDEADC0DE 09. Aug 2010

Man muss nur eine Routine schreiben die die beiden Bytes mit Nutzdaten/-code...

fragestellung 09. Aug 2010

Sie hatte Argumente geschrieben, nicht Fakten. Sie reiht halt Fehler an Fehler... ;)

Brainfreeze 09. Aug 2010

So schlecht war meine Grammatik bzw. der Satzbau nun auch wieder nicht.

au weia 09. Aug 2010

Verschwende doch nicht Deinen Atem an die Kinder die hier sogar bei Betriebssystemen...


Folgen Sie uns
       


Amazons FireTV Cube mit Sprachsteuerung - Test

Der Fire TV Cube ist mehr als ein Fire-TV-Modell. Er kann auf Zuruf gesteuert werden und wir zeigen im Video, wie gut das gelöst ist.

Amazons FireTV Cube mit Sprachsteuerung - Test Video aufrufen
Bosch-Parkplatzsensor im Test: Ein Knöllchen von LoRa
Bosch-Parkplatzsensor im Test
Ein Knöllchen von LoRa

Immer häufiger übernehmen Sensoren die Überwachung von Parkplätzen. Doch wie zuverlässig ist die Technik auf Basis von LoRa inzwischen? Golem.de hat einen Sensor von Bosch getestet und erläutert die Unterschiede zum Parking Pilot von Smart City System.
Ein Test von Friedhelm Greis

  1. Automated Valet Parking Daimler und Bosch dürfen autonom parken
  2. Enhanced Summon Teslas sollen künftig ausparken und vorfahren

Frauen in der IT: Ist Logik von Natur aus Männersache?
Frauen in der IT
Ist Logik von Natur aus Männersache?

Wenn es um die Frage geht, warum es immer noch so wenig Frauen in der IT gibt, kommt früher oder später das Argument, dass Frauen nicht eben zur Logik veranlagt seien. Kann die niedrige Zahl von Frauen in dieser Branche tatsächlich mit der Biologie erklärt werden?
Von Valerie Lux

  1. IT-Jobs Gibt es den Fachkräftemangel wirklich?
  2. Arbeit im Amt Wichtig ist ein Talent zum Zeittotschlagen
  3. IT-Freelancer Paradiesische Zustände

Mi Note 10 im Hands on: Fünf Kameras, die sich lohnen
Mi Note 10 im Hands on
Fünf Kameras, die sich lohnen

Mit dem Mi Note 10 versucht Xiaomi, der Variabilität von Huaweis Vierfachkameras noch eins draufzusetzen - mit Erfolg: Die Fünffachkamera bietet in fast jeder Situation ein passendes Objektiv, auch die Bildqualität kann sich sehen lassen. Der Preis dafür ist ein recht hohes Gewicht.
Ein Hands on von Tobias Költzsch

  1. Xiaomi Neues Redmi Note 8T mit Vierfachkamera kostet 200 Euro
  2. Mi Note 10 Xiaomis neues Smartphone mit 108 Megapixeln kostet 550 Euro
  3. Mi Watch Xiaomi bringt Smartwatch mit Apfelgeschmack

    •  /