Abo
  • Services:

HP, Philips, Fujitsu: Bloatware auf Millionen Notebooks ermöglicht Codeausführung

Ein vorinstalliertes Programm auf Notebooks nahmhafter Hersteller ist ein Sicherheitsrisiko für die Benutzer. Millionen Geräte sind betroffen, es gibt einen Patch und ein Workaround.

Artikel veröffentlicht am ,
Das Tool ist gefährlicher, als es aussieht.
Das Tool ist gefährlicher, als es aussieht. (Bild: Sec Consult)

Ein unscheinbares Programm zur Verwaltung von Bildschirmeinstellungen, das auf zahlreichen Notebooks vorinstalliert ist, kann Angreifer in die Lage versetzen, Code auf dem Gerät auszuführen. Wie die Wiener Sicherheitsfirma SEC Consult schreibt, ermöglicht ein von der Firma Portrait Displays Inc erstelltes Programm, Befehle einzuschleusen und mit Systemrechten auszuführen. Der Hersteller hat das Problem behoben.

Stellenmarkt
  1. SEG Automotive Germany GmbH, Stuttgart-Weilimdorf
  2. DKV MOBILITY SERVICES Business Center, Ratingen

Nutzer sehen dabei nicht den eigentlichen Titel des Programms - dieses wird vom jeweiligen Hersteller gebrandet. Bei Fujitsu etwa heißt es "DisplayView Click". Auch wenn das Programm grundsätzlich sinnvolle Funktionen ermöglicht, bezeichnet Sec Consult die Software als Bloatware, also als ein vorinstalliertes, meist ungewollt installiertes Programm.

  • Codeausführung mit Systemrechten (Bild: Sec Consult)
  • Das Programm ist jeweils vom Hersteller gebrandet (Bild: Sec Consult)
  • Der Dateipfad wird verändert (Bild: Sec Consult)
  • Der Angreifer stoppt den Dienst... (Bild: Sec Consult)
  • Die Berechtigungen werden ausgelesen (Bild: Sec Consult)
  • Am Ende wartet die Kommandozeile auf Eingaben (Bild: Sec Consult)
Codeausführung mit Systemrechten (Bild: Sec Consult)

Um die Sicherheitslücke auszunutzen, müssen zunächst einige Parameter über den Windows-Befehl "sc" ausgelesen werden. Werden die erhaltenen Werte von der "Security Descriptor Definition Language" in von Menschen lesbare Befehle übersetzt, zeigt sich, dass alle bei Windows authentifizierten Benutzer Schreibzugriff auf die Applikation haben. Um Code auszuführen, muss der Binärpfad der Datei geändert werden, vom gewählten Ort kann dann beliebiger Code über den Dienst PDI-Service ausgeführt werden. Da dieser Dienst auf dem System-Berechtigungslevel arbeitet, können die dem eigentlichen Nutzer zur Verfügung stehenden Berechtigungen erweitert werden (Privilege Escalation).

Exploit ist nicht sehr kompliziert

Zunächst muss der Dienst vom Angreifer gestoppt werden, dann wird der Pfad auf die Kommandozeileneingabe von Windows umgestellt. Hier kann dann beliebiger Code ausgeführt werden. Nach Angaben von Sec Consult können etwa neue Benutzer angelegt oder deren Gruppenzugehörigkeit verändert werden.

Die Sicherheitsfirma kritisiert, dass Hersteller häufig gedankenlos Software von Drittanbietern einkaufen, ohne diese gründlich auf mögliche Schwachstellen hin zu überprüfen. Immerhin hat der Hersteller der Software wohl schnell auf die Fehlermeldungen reagiert und gepatchte Versionen zur Verfügung gestellt. Wer das Update aus Gründen derzeit nicht einspielen kann, kann die Berechtigungen der App mit dem Befehl: "sc sdset pdiservice D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA) (A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)" selbst ändern.



Anzeige
Spiele-Angebote
  1. 4,99€
  2. 4,99€
  3. 44,99€
  4. (-40%) 11,99€

FreiGeistler 26. Apr 2017

In einem demokratischen Rechtsstaat sollte das ja nicht so das Problem sein...

foho 26. Apr 2017

bei uns läuft es eigentlich genauso, gekaufte geräte werden genullt und ein basisimage...

Bouncy 25. Apr 2017

Sicherheitsbeschreibungen für Dienste setzen, analog zu den ACLs der Dateien, quasi...

ldlx 25. Apr 2017

Meiner Meinung nach ist das kein Exploit der Anwendung, sondern des Installers - wer gibt...


Folgen Sie uns
       


Microsoft Hololens 2 - Hands on (MWC 2019)

Die Hololens 2 ist Microsofts zweites AR-Headset. Im ersten Kurztest von Golem.de überzeugt das Gerät vor allem durch das merklich größere Sichtfeld.

Microsoft Hololens 2 - Hands on (MWC 2019) Video aufrufen
Raspi-Tastatur und -Maus im Test: Die Basteltastatur für Bastelrechner
Raspi-Tastatur und -Maus im Test
Die Basteltastatur für Bastelrechner

Für die Raspberry-Pi-Platinen gibt es eine offizielle Tastatur und Maus, passenderweise in Weiß und Rot. Im Test macht die Tastatur einen anständigen Eindruck, die Maus hingegen hat uns eher kaltgelassen. Das Keyboard ist zudem ein guter Ausgangspunkt für Bastelprojekte.
Ein Test von Tobias Költzsch

  1. Bastelcomputer Offizielle Maus und Tastatur für den Raspberry Pi
  2. Kodi mit Raspberry Pi Pimp your Stereoanlage
  3. Betriebssystem Windows 10 on ARM kann auf Raspberry Pi 3 installiert werden

Jobporträt: Wenn die Software für den Anwalt kurzen Prozess macht
Jobporträt
Wenn die Software für den Anwalt kurzen Prozess macht

IT-Anwalt Christian Solmecke arbeitet an einer eigenen Jura-Software, die sogar automatisch auf Urheberrechtsabmahnungen antworten kann. Dass er sich damit seiner eigenen Arbeit beraubt, glaubt er nicht. Denn die KI des Programms braucht noch Betreuung.
Von Maja Hoock

  1. Struktrurwandel IT soll jetzt die Kohle nach Cottbus bringen
  2. IT-Jobporträt Spieleprogrammierer "Ich habe mehr Code gelöscht als geschrieben"
  3. Recruiting Wenn die KI passende Mitarbeiter findet

Elektromobilität: Was hat ein Kanu mit Autos zu tun?
Elektromobilität
Was hat ein Kanu mit Autos zu tun?

Veteranen der deutschen Autoindustrie wollen mit Canoo den Fahrzeugbau und den Vertrieb revolutionieren. Zunächst scheitern die großen Köpfe aber an den kleinen Hürden der Startupwelt.
Ein Bericht von Dirk Kunde

  1. EU Unfall-Fahrtenschreiber in Autos ab 2022 Pflicht
  2. Verkehrssenatorin Fahrverbot für Autos in Berlin gefordert
  3. Ventomobil Mit dem Windrad auf Rekordjagd

    •  /