Project Zero: Schlecht gepatchte Windows-Lücke weiter ausnutzbar

Eine aktiv ausgenutzte Sicherheitslücke in Windows ist trotz Hinweisen von Google und einem unzureichenden Patch immer noch nicht behoben.

Artikel veröffentlicht am 28. Dezember 2020, 14:00 Uhr, Sebastian Grüner

Bei einigen unvollständigen Patches muss nochmal nachgearbeitet werden. (Bild: Pixabay)

Googles Project Zero hat Details zu einer Sicherheitslücke in Windows veröffentlicht, die eigentlich längst behoben sein sollte. Dies ist wohl aber nicht der Fall, wie die Sicherheitsforscherin Maddie Stone schreibt. Das eigentliche Sicherheitsproblem (CVE-2020-0986) ist dabei bereits im Mai durch das IT-Sicherheitsunternehmen Kaspersky gefunden worden, die berichteten, dass die Lücke schon als sogenannter Zero Day aktiv für Angriffe ausgenutzt worden sei. Microsoft veröffentlichte daraufhin im Juni einen Patch, der aber offenbar unzureichend war.

Wie Stone in dem Bug-Eintrag von Googles Project Zero ausführlich darstellt, bewirkte das Update von Microsoft lediglich, dass der tatsächlich in dem Exploit genutzte Angriffsvektor nicht mehr verwendet werden kann. Die eigentliche Lücke, die zum Ausweiten der Rechte auf Windows genutzt werden kann, kann demnach durch eine leichte Abwandlung des Angriffs weiter ausgenutzt werden. Für die nun angepasste Variante des Angriffs von Stone steht trotz der abgelaufenen 90-Tages-Frist von Google noch kein Update bereit.

Konkret beschreibt die Forscherin die Lücke so: "Das ursprüngliche Problem war eine beliebige Zeiger-Dereferenzierung, die es Angreifern ermöglichte, die Quell- und Ziel-Zeiger eines Memcpy-Aufrufs zu steuern. Der 'Fix' änderte einfach die Zeiger in Offsets, was weiterhin die Kontrolle der Argumente zum Memcpy ermöglicht."

Stone weist auf Twitter außerdem daraufhin, dass es im Jahr 2020 mehrfach vorgekommen sei, dass die Patches für bereits aktiv ausgenutzte Sicherheitslücken unvollständig gewesen seien. Dadurch könnten Angreifer ihr bereits zu der Lücke gesammeltes Wissen schlicht wiederverwenden und "einfach" angepasste Exploits erstellen. Trotz der vermeintlichen Fehlerbehebung bliebe das Risiko für Nutzer damit natürlich bestehen.