HP, Philips, Fujitsu: Bloatware auf Millionen Notebooks ermöglicht Codeausführung

Ein vorinstalliertes Programm auf Notebooks nahmhafter Hersteller ist ein Sicherheitsrisiko für die Benutzer. Millionen Geräte sind betroffen, es gibt einen Patch und ein Workaround.

Artikel veröffentlicht am ,
Das Tool ist gefährlicher, als es aussieht.
Das Tool ist gefährlicher, als es aussieht. (Bild: Sec Consult)

Ein unscheinbares Programm zur Verwaltung von Bildschirmeinstellungen, das auf zahlreichen Notebooks vorinstalliert ist, kann Angreifer in die Lage versetzen, Code auf dem Gerät auszuführen. Wie die Wiener Sicherheitsfirma SEC Consult schreibt, ermöglicht ein von der Firma Portrait Displays Inc erstelltes Programm, Befehle einzuschleusen und mit Systemrechten auszuführen. Der Hersteller hat das Problem behoben.

Stellenmarkt
  1. System Engineer (m/w/d) Softwaredeployment
    Deutsche Bundesbank, Düsseldorf
  2. IT-Systemadministrator (m/w/d)
    Charite CFM Facility Management GmbH Zentrale Dienste Personal, Berlin
Detailsuche

Nutzer sehen dabei nicht den eigentlichen Titel des Programms - dieses wird vom jeweiligen Hersteller gebrandet. Bei Fujitsu etwa heißt es "DisplayView Click". Auch wenn das Programm grundsätzlich sinnvolle Funktionen ermöglicht, bezeichnet Sec Consult die Software als Bloatware, also als ein vorinstalliertes, meist ungewollt installiertes Programm.

  • Codeausführung mit Systemrechten (Bild: Sec Consult)
  • Das Programm ist jeweils vom Hersteller gebrandet (Bild: Sec Consult)
  • Der Dateipfad wird verändert (Bild: Sec Consult)
  • Der Angreifer stoppt den Dienst... (Bild: Sec Consult)
  • Die Berechtigungen werden ausgelesen (Bild: Sec Consult)
  • Am Ende wartet die Kommandozeile auf Eingaben (Bild: Sec Consult)
Codeausführung mit Systemrechten (Bild: Sec Consult)

Um die Sicherheitslücke auszunutzen, müssen zunächst einige Parameter über den Windows-Befehl "sc" ausgelesen werden. Werden die erhaltenen Werte von der "Security Descriptor Definition Language" in von Menschen lesbare Befehle übersetzt, zeigt sich, dass alle bei Windows authentifizierten Benutzer Schreibzugriff auf die Applikation haben. Um Code auszuführen, muss der Binärpfad der Datei geändert werden, vom gewählten Ort kann dann beliebiger Code über den Dienst PDI-Service ausgeführt werden. Da dieser Dienst auf dem System-Berechtigungslevel arbeitet, können die dem eigentlichen Nutzer zur Verfügung stehenden Berechtigungen erweitert werden (Privilege Escalation).

Exploit ist nicht sehr kompliziert

Zunächst muss der Dienst vom Angreifer gestoppt werden, dann wird der Pfad auf die Kommandozeileneingabe von Windows umgestellt. Hier kann dann beliebiger Code ausgeführt werden. Nach Angaben von Sec Consult können etwa neue Benutzer angelegt oder deren Gruppenzugehörigkeit verändert werden.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    2.-3. November 2021, online
  2. Linux-Systeme absichern und härten
    8.-10. November 2021, online
  3. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, online
Weitere IT-Trainings

Die Sicherheitsfirma kritisiert, dass Hersteller häufig gedankenlos Software von Drittanbietern einkaufen, ohne diese gründlich auf mögliche Schwachstellen hin zu überprüfen. Immerhin hat der Hersteller der Software wohl schnell auf die Fehlermeldungen reagiert und gepatchte Versionen zur Verfügung gestellt. Wer das Update aus Gründen derzeit nicht einspielen kann, kann die Berechtigungen der App mit dem Befehl: "sc sdset pdiservice D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA) (A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)" selbst ändern.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


FreiGeistler 26. Apr 2017

In einem demokratischen Rechtsstaat sollte das ja nicht so das Problem sein...

foho 26. Apr 2017

bei uns läuft es eigentlich genauso, gekaufte geräte werden genullt und ein basisimage...

Bouncy 25. Apr 2017

Sicherheitsbeschreibungen für Dienste setzen, analog zu den ACLs der Dateien, quasi...

ldlx 25. Apr 2017

Meiner Meinung nach ist das kein Exploit der Anwendung, sondern des Installers - wer gibt...



Aktuell auf der Startseite von Golem.de
Geschäftsethik bei Videospielen
Auf der Suche nach dem Wal

Das Geschäftsmodell von aktuellen Free-to-Play-Games nimmt das Risiko in Kauf, dass Menschen von Spielen abhängig werden. Eigentlich basiert es sogar darauf.
Von Evan Armstrong

Geschäftsethik bei Videospielen: Auf der Suche nach dem Wal
Artikel
  1. Silifuzz: Google sucht und findet per Fuzzing CPU-Fehler
    Silifuzz
    Google sucht und findet per Fuzzing CPU-Fehler

    Elektrische Defekte in CPUs können Daten und Ergebnisse beeinflussen, ohne dass dies zunächst auffällt. Google sucht diese nun per Fuzzing.

  2. Nintendo Switch: Deutscher Jugendschutz sperrt Dying Light in Australien
    Nintendo Switch
    Deutscher Jugendschutz sperrt Dying Light in Australien

    Das frisch für die Switch veröffentlichte Dying Light ist in Europa und in Australien nicht erhältlich - wegen des deutschen Jugendschutzes.

  3. Smartphone: Oppo will eigene Chips bauen
    Smartphone
    Oppo will eigene Chips bauen

    Qualcomm könnte bald einen weiteren Kunden verlieren: Oppo soll eine eigene Chipproduktion für seine Top-Smartphones planen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Cyber Week Finale: Bis 33% auf Digitus-Monitorhalterungen & bis 36 Prozent auf EVGA-Netzteile • Samsung-Monitore (u. a. 24" FHD 144Hz 169€) • Bosch Professional zu Bestpreisen • Sandisk Ultra 3D 500GB 47,99€ • Google Pixel 6 vorbestellbar ab 649€ + Bose Headphones als Geschenk [Werbung]
    •  /