• IT-Karriere:
  • Services:

Sicherheitslücke: Zero Day im Windows-Kernel veröffentlicht

Google hat die Sicherheitslücke nach nur 7 Tagen veröffentlicht, weil sie bereits aktiv ausgenutzt wurde. Patches gibt es nicht.

Artikel veröffentlicht am ,
Die veröffentlichte Sicherheitslücke wird bereits aktiv ausgenutzt.
Die veröffentlichte Sicherheitslücke wird bereits aktiv ausgenutzt. (Bild: Gerd Altmann/Pixabay)

Googles Project Zero hat eine Sicherheitslücke im Windows-Kernel veröffentlicht, die bereits aktiv ausgenutzt wird. Sie wird in Kombination mit anderen Sicherheitslücken in Browsern verwendet, um in das System eindringen zu können. Für die Kernel-Sicherheitslücke stehen derzeit keine Patches zur Verfügung.

Stellenmarkt
  1. Bezirkskliniken Schwaben, Augsburg
  2. Knappschaft Kliniken Service GmbH, Bottrop

Entdeckt wurde die Zero Day (CVE-2020-17087) von den Sicherheitsforschern Mateusz Jurczyk und Sergei Glazunov von Googles Project Zero, die die Lücke am 22. Oktober an Microsoft gemeldet hatten. Nachdem klar war, dass sie bereits aktiv ausgenutzt wurde, hat sich Google nur sieben Tage später dazu entschlossen, die Sicherheitslücke zu veröffentlichen.

"Der Windows-Kernel-Kryptographie-Treiber (cng.sys) stellt ein \Device\CNG-Gerät für User-Mode-Programme bereit und unterstützt eine Vielzahl von IOCTLs mit nicht-trivialen Eingabestrukturen", heißt es in dem Fehlerbericht. Dies stelle eine lokal zugängliche Angriffsfläche dar, die zur Rechteausweitung oder einem Ausbruch aus einer Sandbox genutzt werden könne.

Mehrere Zero Days für Angriff kombiniert

Die Zero Day wird in Kombination mit einer weiteren Sicherheitslücke in der im Chrome- und Edge-Browser verwendeten Freetype-Bibliothek verwendet. Die erste erlaubt das Ausführen von Schadcode innerhalb von Chrome oder Edge, während die zweite ein Ausbruch aus der Browser-Sandbox ermöglicht. Dieses sogenannte Chaining von Sicherheitslücken ist nicht unüblich. Die Lücken in Chrome und Edge wurden bereits behoben, Updates wurden veröffentlicht.

Die Lücke im Kryptographie-Treiber soll mindestens seit Windows 7 existieren und lässt sich mit einem ebenfalls veröffentlichten Proof-of-Concept-Code (PoC) unter Windows 10 (64Bit) ausnutzen. Ein Patch wird zum 10. November, dem nächsten Patch-Tuesday, erwartet. Derzeit arbeite Microsoft an einem Fix, sagte ein Konzern-Sprecher dem Onlinemagazin The Register.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (u. a. Ryzen 7 5800X 469€)

Keyla 02. Nov 2020

Stimmt hast recht, "die Status" hört sich aber trotzdem falsch an, ist aber richtig. www...

Vincent-VEC 02. Nov 2020

Ähm - mal unabhängig davon, wer hier Recht hat: Ein Forum ist kein Echtzeitmedium. Und...


Folgen Sie uns
       


Surface Duo - Fazit

Das Surface Duo ist Microsofts erstes Smartphone seit Jahren - und ein ungewöhnliches dazu. Allerdings ist das Gerät in Deutschland viel zu teuer.

Surface Duo - Fazit Video aufrufen
Bill Gates: Mit Technik gegen die Klimakatastrophe
Bill Gates
Mit Technik gegen die Klimakatastrophe

Bill Gates' Buch über die Bekämpfung des Klimawandels hat Schwächen, es lohnt sich aber trotzdem, dem Microsoft-Gründer zuzuhören.
Eine Rezension von Hanno Böck

  1. Microsoft-Gründer Bill Gates startet Podcast

MCST Elbrus: Die Zukunft von Russlands eigenen Prozessoren
MCST Elbrus
Die Zukunft von Russlands eigenen Prozessoren

32 Kerne für Server-CPUs, eine Videobeschleunigung für Notebooks und sogar SSDs: In Moskau wird die Elbrus-Plattform vorangetrieben.
Ein Bericht von Marc Sauter

  1. Anzeige Verkauf von AMDs Ryzen-5000-Serie startet
  2. Alder Lake S Intel bestätigt x86-Hybrid-Kerne für Desktop-CPUs
  3. Core i5-L16G7 (Lakefield) im Test Intels x86-Hybrid-CPU analysiert

Videokonferenzen: Bessere Webcams, bitte!
Videokonferenzen
Bessere Webcams, bitte!

Warum sehen in Videokonferenzen immer alle schlecht aus? Die Webcam-Hersteller sind (oft) schuld.
Ein IMHO von Martin Wolf

  1. Webcam im Eigenbau Mit wenigen Handgriffen wird die Pi HQ Cam zur USB-Kamera

    •  /