Abo
  • IT-Karriere:

Gesperrter Lockscreen: Cortana-Fehler ermöglicht Codeausführung

Ein Fehler in Cortana ermöglicht einem Angreifer die Ausführung von Code von einem gesperrten Windows-Sperrbildschirm aus. Microsoft hat den Fehler am Patch Tuesday behoben.

Artikel veröffentlicht am ,
Cortana auf dem Windows-Lockscreen
Cortana auf dem Windows-Lockscreen (Bild: Martin Wolf/Golem.de)

Ein Fehler in Cortana ermöglicht einem Angreifer mit physischem Zugang zum Gerät die Ausführung von Befehlen, etwa über Windows Powershell. Der Fehler CVE-2018-8140 wurde von Microsoft mit dem aktuellen Patch Tuesday behoben. Gefunden hatten das Problem Sicherheitsforscher von McAfee, sie nutzten dabei einen gesperrten Windows-Rechner mit aktivierter Cortana-Funktion.

Stellenmarkt
  1. Fresenius Medical Care Deutschland GmbH, Bad Homburg vor der Höhe
  2. DLR Deutsches Zentrum für Luft- und Raumfahrt e.V., Köln

Dazu muss ein Angreifer auf dem gesperrten Lockscreen Cortana aufrufen - entweder über den Mikrofon-Befehl oder über den Sprachbefehl "Hey Cortana". Wenn der Nutzer dann eine Frage stellt, etwa nach der Uhrzeit, wird das bekannte Windows-Menü geöffnet, das beste verfügbare Ergebnis ist dann vorausgewählt. Dazu muss jedoch während der Frage die Leertaste gedrückt werden. Wird das Menü mit Esc geschlossen und erneut die Leertaste betätigt, erscheint ein Menü mit leerer Eingabeaufforderung.

Nutzer können in dieses Suchfeld beliebige Befehle eintragen, lediglich die Backspace-Taste funktioniert hier nicht. Als Beispiel nennen die Forscher den Befehl "powershell [console]::beep(2000,1000)", der im Hintergrund einen Piepton auslöst. Ist der Befehl korrekt geschrieben, wird er als Kommando erkannt und in der Ergebnisliste angezeigt. Ein Klick auf das Feld löst dann den Befehl aus.

In einem Proof-Of-Concept zeigen die Forscher einen weiteren Angriff. Dabei wird das Windows-Passwort eines Nutzers zurückgesetzt und durch ein neues ersetzt. Dazu wird ein entsprechendes Powershell-Skript auf einem USB-Stick hinterlegt, der lokal angeschlossen wird. Das Skript wird über den oben beschriebenen Weg aufgerufen und hinterlegt ein neues Passwort. Eine Nutzerinteraktion ist dafür nach Angaben der Forscher nicht erforderlich.

Microsoft hat den Fehler mit dem aktuellen Patchday behoben. Die Patches sollten schnell installiert werden, alternativ kann als kurzfristiger Workaround Cortana deaktiviert werden. Cortana kann auch nur für den Sperrbildschirm deaktiviert werden.



Anzeige
Hardware-Angebote
  1. 94,90€ + Versand mit Gutschein QVO20
  2. 119,90€
  3. (reduzierte Überstände, Restposten & Co.)

CiD 13. Jun 2018

Damit wäre aber, meines Wissens nach, Cortana immer noch im LockScreen verfügbar...

Herr Unterfahren 13. Jun 2018

Das ist kein Bug, sondern ein Feature.


Folgen Sie uns
       


LG V50 mit Dualscreen - Hands on (MWC 2019)

LG hat auf dem Mobile World Congress 2019 in Barcelona das 5G-fähige Smartphone V50 Thinq gezeigt. Passend dazu gibt es eine spezielle Hülle, die sich Dual Screen nennt. Darun befindet sich ein zweites Display, das sich parallel zum normalen Smartphone-Display nutzen lässt.

LG V50 mit Dualscreen - Hands on (MWC 2019) Video aufrufen
Technologie: Warum Roboter in Japan so beliebt sind
Technologie
Warum Roboter in Japan so beliebt sind

Japaner produzieren nicht nur mehr Roboter als jede andere Nation, sie gehen auch selbstverständlicher mit ihnen um. Das liegt an der besonderen Geschichte und Religion des Inselstaats - und an Astro Boy.
Von Miroslav Stimac

  1. Heimautomatisierung Wäschefaltroboter-Hersteller Seven Dreamers ist insolvent
  2. Kreativität Roboterdame Ai-Da soll zeichnen und malen
  3. Automatisierung Roboterhotel entlässt Roboter

Online-Banking: In 150 Tagen verlieren die TAN-Zettel ihre Gültigkeit
Online-Banking
In 150 Tagen verlieren die TAN-Zettel ihre Gültigkeit

Zum 14. September 2019 wird ein wichtiger Teil der Zahlungsdiensterichtlinie 2 für die meisten Girokonto-Kunden mit Online-Zugang umgesetzt. Die meist als indizierte TAN-Liste ausgegebenen Transaktionsnummern können dann nicht mehr genutzt werden.
Von Andreas Sebayang

  1. Banking-App Comdirect empfiehlt, Sicherheitswarnung zu ignorieren

Elektromobilität: Was hat ein Kanu mit Autos zu tun?
Elektromobilität
Was hat ein Kanu mit Autos zu tun?

Veteranen der deutschen Autoindustrie wollen mit Canoo den Fahrzeugbau und den Vertrieb revolutionieren. Zunächst scheitern die großen Köpfe aber an den kleinen Hürden der Startupwelt.
Ein Bericht von Dirk Kunde

  1. EU Unfall-Fahrtenschreiber in Autos ab 2022 Pflicht
  2. Verkehrssenatorin Fahrverbot für Autos in Berlin gefordert
  3. Ventomobil Mit dem Windrad auf Rekordjagd

    •  /