• IT-Karriere:
  • Services:

Project Zero: Windows-Texteingabesystem bietet viele Angriffsmöglichkeiten

Ein Systemdienst für Texteingabemethoden, das es seit Windows XP gibt, wurde offenbar mit wenig Sicherheitsbewusstsein entwickelt. Tavis Ormandy von Google gelang es damit, als Nutzer Systemrechte zu erlangen. Es gibt ein Update von Microsoft, doch das behebt wohl nicht alle Probleme.

Artikel veröffentlicht am ,
Ein System für Texteingabemethoden unter Windows ist offenbar eine reichhaltige Quelle für Sicherheitslücken.
Ein System für Texteingabemethoden unter Windows ist offenbar eine reichhaltige Quelle für Sicherheitslücken. (Bild: Mohylek, Wikimedia Commons/CC-BY-SA 3.0)

Das Text Services Framework, ein Systemdienst unter Windows zur Verwaltung von Texteingabemethoden, hat zahlreiche Sicherheitsprobleme. Darüber berichtet Tavis Ormandy von Googles Project Zero in einem detaillierten Blogpost. Das Texteingabesystem dient dazu, Eingabemethoden für fremde Sprachen wie etwa das chinesische Pinyin-System bereitzustellen oder alternative Eingabemethoden wie etwa Spracherkennung zu ermöglichen.

Stellenmarkt
  1. üstra Hannoversche Verkehrsbetriebe AG, Hannover
  2. Lidl Digital, Neckarsulm

Ormandy stieß auf diesen Systemservice, während er die Kommunikation zwischen verschiedenen Fenstern unter Windows analysierte. Windows-Prozesse können an die Fenster anderer Prozesse bestimmte Nachrichten schicken, diese werden dabei mit einem Sicherheitssystem gefiltert, das etwa verhindert, dass unpriviligierte Prozesse auf solche mit Systemrechten zugreifen können. Dabei bemerkte Ormandy, dass bestimmte Befehle, die mit dem Texteingabesystem zusammenhingen, nicht gefiltert wurden.

"Obskures Legacy-Protokoll voll von Memory-Corruption-Lücken"

Den entsprechenden Service, der mit dem Kürzel CTF bezeichnet wird - wofür die Abkürzung steht ist unklar - gibt es seit Windows XP mitgeliefert. "Es wird niemanden überraschen dass ein komplexes, obskures Legacy-Protokoll voll von Memory-Corruption-Sicherheitslücken ist", schreibt Ormandy. Er fand eine Reihe von Funktionen, in denen sich Sicherheitslücken ausnutzen ließen.

Ormandy bemerkte weiterhin, dass der Login-Bildschirm, der permanent im Hintergrund und mit Systemrechten läuft, ebenfalls mit dem Texteingabesystem kommuniziert. Durch Ausnutzen einiger Sicherheitslücken konnte Ormandy damit die Kontrolle über den Login-Bildschirm erlangen und somit als normaler Nutzer Code mit Systemrechten ausführen.

Doch das dürfte nur die Spitze des Eisbergs sein. Das ganze System bietet eine große Angriffsfläche. Wenn Eingabemethoden für Sprachen wie Chinesisch, Koreanisch oder Japanisch installiert sind, hat das CTF-System besonders viele Möglichkeiten. So ist es laut Ormandy damit praktisch trivial möglich, Text an andere Fenster zu schicken oder eingegebenen Text auszulesen. Wenn ein Nutzerprozess läuft und gleichzeitig etwa eine Administrator-Konsole, ist es damit ebenfalls möglich, Rechte auszuweiten, da man dort Befehle eintippen kann.

Auch Sandbox-Ausbrüche möglich

Dazu kommt, dass die Kommunikation mit dem CTF-System auch von Prozessen im Sandbox-System Appcontainer ausgehen kann. Dieses Konzept dient eigentlich dazu, Anwendungen komplett vom Rest des Systems abzuschotten.

Wie es bei Googles Project Zero üblich ist, hat Ormandy Microsoft 90 Tage Zeit gelassen, um das Problem zu beheben. Aus dem Fehlerbericht bei Project Zero geht hervor, dass Microsoft offenbar lange Zeit nicht kommuniziert hatte, wie das Unternehmen mit dem Fehler umgehen wolle. Ormandy hatte nach eigenen Angaben mehrfach angeboten, die Probleme im Detail zu erklären und bei der Entwicklung von Fixes zu helfen.

Erst Ende Juli meldete sich Microsoft und diskutierte die geplanten Fehlerkorrekturen mit Ormandy in einer Telefonkonferenz. Aus dem Bericht geht hervor, dass Microsoft offenbar zu diesem Zeitpunkt für einige der Probleme noch keine Lösungen hatte.

Ormandy hat die Patches, die Microsoft jetzt veröffentlicht hat, bisher nicht analysiert, da diese erst knapp vor der Veröffentlichung fertig waren. Er geht davon aus, dass die gefährlichsten Angriffsvektoren geschlossen sind, aber weiterhin Probleme bestehen bleiben. Die Patches sind Teil des jüngsten Sicherheitsupdates für Windows, das alle Nutzer zeitnah installieren sollten.

Ormandy hat für die Entwicklung der verschiedenen Angriffsmethoden ein eigenes Tool entwickelt. Es steht unter der freien Apache-2-Lizenz und kann auf Github heruntergeladen werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Mobile-Angebote
  1. 499,90€
  2. 206,10€ (mit Rabattcode "PFIFFIGER" - Bestpreis!)
  3. 569€ (Bestpreis!)

Folgen Sie uns
       


Viewsonic M2 - Test

Der kleine LED-Projektor eignet sich für Präsentationen und als flexibles Kino für unterwegs.

Viewsonic M2 - Test Video aufrufen
Made in USA: Deutsche Huawei-Gegner schweigen zu Juniper-Hintertüren
Made in USA
Deutsche Huawei-Gegner schweigen zu Juniper-Hintertüren

Zu unbequemen Fragen schweigen die Transatlantiker Manuel Höferlin, Falko Mohrs, Metin Hakverdi, Norbert Röttgen und Friedrich Merz. Das wirkt unredlich.
Eine Recherche von Achim Sawall

  1. Sandworm Hacker nutzen alte Exim-Sicherheitslücke aus

Smarte Lautsprecher im Vergleichstest: Amazon hat den Besten
Smarte Lautsprecher im Vergleichstest
Amazon hat den Besten

Echo 4, Nest Audio, Echo Dot 4 oder Homepod Mini? Bei smarten Lautsprechern für maximal 100 Euro ist die Größe entscheidend.
Ein Test von Ingo Pakalski

  1. Smarter Lautsprecher Google zeigt Nest Audio für 100 Euro
  2. Harman Kardon Portabler Lautsprecher mit Google Assistant und Airplay 2
  3. Smarter Lautsprecher Google bestätigt offiziell neuen Nest-Lautsprecher

Gemanagte Netzwerke: Was eine Quasi-Virtualisierung von WANs und LANs bringt
Gemanagte Netzwerke
Was eine Quasi-Virtualisierung von WANs und LANs bringt

Cloud Managed LAN, Managed WAN Optimization, SD-WAN oder SD-LAN versprechen mehr Durchsatz, mehr Ausfallsicherheit oder weniger Datenstau.
Von Boris Mayer


      •  /