Abo
  • IT-Karriere:

HP, Philips, Fujitsu: Bloatware auf Millionen Notebooks ermöglicht Codeausführung

Ein vorinstalliertes Programm auf Notebooks nahmhafter Hersteller ist ein Sicherheitsrisiko für die Benutzer. Millionen Geräte sind betroffen, es gibt einen Patch und ein Workaround.

Artikel veröffentlicht am ,
Das Tool ist gefährlicher, als es aussieht.
Das Tool ist gefährlicher, als es aussieht. (Bild: Sec Consult)

Ein unscheinbares Programm zur Verwaltung von Bildschirmeinstellungen, das auf zahlreichen Notebooks vorinstalliert ist, kann Angreifer in die Lage versetzen, Code auf dem Gerät auszuführen. Wie die Wiener Sicherheitsfirma SEC Consult schreibt, ermöglicht ein von der Firma Portrait Displays Inc erstelltes Programm, Befehle einzuschleusen und mit Systemrechten auszuführen. Der Hersteller hat das Problem behoben.

Stellenmarkt
  1. SEG Automotive Germany GmbH, Stuttgart-Weilimdorf
  2. Bundeskriminalamt, Wiesbaden, Meckenheim, Berlin

Nutzer sehen dabei nicht den eigentlichen Titel des Programms - dieses wird vom jeweiligen Hersteller gebrandet. Bei Fujitsu etwa heißt es "DisplayView Click". Auch wenn das Programm grundsätzlich sinnvolle Funktionen ermöglicht, bezeichnet Sec Consult die Software als Bloatware, also als ein vorinstalliertes, meist ungewollt installiertes Programm.

  • Codeausführung mit Systemrechten (Bild: Sec Consult)
  • Das Programm ist jeweils vom Hersteller gebrandet (Bild: Sec Consult)
  • Der Dateipfad wird verändert (Bild: Sec Consult)
  • Der Angreifer stoppt den Dienst... (Bild: Sec Consult)
  • Die Berechtigungen werden ausgelesen (Bild: Sec Consult)
  • Am Ende wartet die Kommandozeile auf Eingaben (Bild: Sec Consult)
Codeausführung mit Systemrechten (Bild: Sec Consult)

Um die Sicherheitslücke auszunutzen, müssen zunächst einige Parameter über den Windows-Befehl "sc" ausgelesen werden. Werden die erhaltenen Werte von der "Security Descriptor Definition Language" in von Menschen lesbare Befehle übersetzt, zeigt sich, dass alle bei Windows authentifizierten Benutzer Schreibzugriff auf die Applikation haben. Um Code auszuführen, muss der Binärpfad der Datei geändert werden, vom gewählten Ort kann dann beliebiger Code über den Dienst PDI-Service ausgeführt werden. Da dieser Dienst auf dem System-Berechtigungslevel arbeitet, können die dem eigentlichen Nutzer zur Verfügung stehenden Berechtigungen erweitert werden (Privilege Escalation).

Exploit ist nicht sehr kompliziert

Zunächst muss der Dienst vom Angreifer gestoppt werden, dann wird der Pfad auf die Kommandozeileneingabe von Windows umgestellt. Hier kann dann beliebiger Code ausgeführt werden. Nach Angaben von Sec Consult können etwa neue Benutzer angelegt oder deren Gruppenzugehörigkeit verändert werden.

Die Sicherheitsfirma kritisiert, dass Hersteller häufig gedankenlos Software von Drittanbietern einkaufen, ohne diese gründlich auf mögliche Schwachstellen hin zu überprüfen. Immerhin hat der Hersteller der Software wohl schnell auf die Fehlermeldungen reagiert und gepatchte Versionen zur Verfügung gestellt. Wer das Update aus Gründen derzeit nicht einspielen kann, kann die Berechtigungen der App mit dem Befehl: "sc sdset pdiservice D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA) (A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)" selbst ändern.



Anzeige
Top-Angebote
  1. (u. a. 256-GB-microSDXC für 36,99€ - Bestpreis!)
  2. (u. a. Seagate Barracuda 250-GB-SSD für 39,99€)
  3. 659,00€

FreiGeistler 26. Apr 2017

In einem demokratischen Rechtsstaat sollte das ja nicht so das Problem sein...

foho 26. Apr 2017

bei uns läuft es eigentlich genauso, gekaufte geräte werden genullt und ein basisimage...

Bouncy 25. Apr 2017

Sicherheitsbeschreibungen für Dienste setzen, analog zu den ACLs der Dateien, quasi...

ldlx 25. Apr 2017

Meiner Meinung nach ist das kein Exploit der Anwendung, sondern des Installers - wer gibt...


Folgen Sie uns
       


Cherry Stream 3.0 mit großem ß ausprobiert

Alle möglichen Umlaute auf einer Tastatur: Wir haben Cherrys Europa-Tastatur ausprobiert.

Cherry Stream 3.0 mit großem ß ausprobiert Video aufrufen
Minecraft Dungeons angespielt: Fehlt nur noch ein Klötzchen-Diablo in der Tiefe
Minecraft Dungeons angespielt
Fehlt nur noch ein Klötzchen-Diablo in der Tiefe

E3 2019 Von der Steuerung bis zu den Schatzkisten: Minecraft Dungeons hat uns beim Anspielen bis auf die Klötzchengrafik verblüffend stark an Diablo erinnert - und könnte gerade deshalb teuflisch spaßig werden!

  1. Augmented Reality Minecraft Earth erlaubt Klötzchenbauen in aller Welt
  2. Microsoft Augmented-Reality-Minecraft kommt zum zehnten Jubiläum
  3. Jubiläum ohne Notch Microsoft feiert Minecraft ohne Markus Persson

Ada und Spark: Mehr Sicherheit durch bessere Programmiersprachen
Ada und Spark
Mehr Sicherheit durch bessere Programmiersprachen

Viele Sicherheitslücken in Software sind auf Programmierfehler zurückzuführen. Diese Fehler lassen sich aber vermeiden - und zwar unter anderem durch die Wahl einer guten Programmiersprache. Ada und Spark gehören dazu, leider sind sie immer noch wenig bekannt.
Von Johannes Kanig

  1. Das andere How-to Deutsch lernen für Programmierer
  2. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein

Autonomes Fahren: Per Fernsteuerung durch die Baustelle
Autonomes Fahren
Per Fernsteuerung durch die Baustelle

Was passiert, wenn autonome Autos in einer Verkehrssituation nicht mehr weiterwissen? Ein Berliner Fraunhofer-Institut hat dazu eine sehr datensparsame Fernsteuerung entwickelt. Doch es wird auch vor der Technik gewarnt.
Ein Bericht von Friedhelm Greis

  1. Neues Geschäftsfeld Huawei soll an autonomen Autos arbeiten
  2. Taxifahrzeug Volvo baut für Uber Basis eines autonomen Autos
  3. Autonomes Fahren Halter sollen bei Hackerangriffen auf Autos haften

    •  /