Windows Downdate: Tool zum Öffnen alter Windows-Lücken veröffentlicht
Auf der Hackerkonferenz Black Hat 2024 hatte der Sicherheitsforscher Alon Leviev von Safebreach eine Angriffstechnik vorgestellt , mit der sich alte Sicherheitslücken in Windows auf vollständig gepatchten Systemen wieder öffnen lassen. Zur Durchführung dieses Angriffs hat der Forscher ein Python-basiertes Tool namens Windows Downdate entwickelt, das inzwischen für alle auf Github zur Verfügung(öffnet im neuen Fenster) steht.
Wie Leviev in einem X-Beitrag(öffnet im neuen Fenster) erklärt, lassen sich mit dem Tool frühere Schwachstellen in DLLs, Treibern, dem NT-Kernel, dem Secure Kernel, dem Hypervisor, IUM-Trustlets(öffnet im neuen Fenster) und vielen weiteren Windows-Komponenten wieder freilegen.
Im Code-Repository von Windows Downgrade sind zudem Anwendungsbeispiele verlinkt, etwa um Patches für die Sicherheitslücken CVE-2021-27090(öffnet im neuen Fenster) , CVE-2022-34709(öffnet im neuen Fenster) und CVE-2023-21768(öffnet im neuen Fenster) zu entfernen, Hyper-V oder den Windows-Kernel auf eine anfällige Version zurückzustufen oder UEFI-Sperren von VBS (Virtualization-based Security) zu umgehen.
Angriff nur schwer erkennbar
Wie Leviev schon Anfang August erklärt hatte, lässt sich ein erfolgreicher Angriff mit Windows Downdate von Betroffenen nur schwer erkennen, da das Zielsystem den Nutzern nach dem Downgrade der jeweiligen Software weiterhin meldet, das Betriebssystem sei vollständig aktualisiert und es stünden keine neuen Updates zur Verfügung.
Der Angriff basiert auf zwei Rechteausweitungsschwachstellen, die als CVE-2024-38202(öffnet im neuen Fenster) und CVE-2024-21302(öffnet im neuen Fenster) registriert sind. Für die Sicherheitslücke CVE-2024-21302, die sich auf den Windows Secure Kernel Mode bezieht, stehen inzwischen Patches für Windows 10 und Windows 11 sowie Windows Server 2016, 2019 und 2022 zur Verfügung.
Bei der Lücke CVE-2024-38202 im Windows Update Stack ist dies jedoch bisher nicht der Fall, obwohl Leviev behauptet, er habe seine Entdeckungen schon im Februar an Microsoft gemeldet. Der Konzern arbeitet nach eigenen Angaben noch immer an einem Sicherheitsupdate, um das Problem zu beheben. Bis der Patch verfügbar ist, verweist Microsoft lediglich auf eine Reihe von Maßnahmen(öffnet im neuen Fenster) , mit denen sich das Risiko eines erfolgreichen Angriffs verringern lassen soll. Einen vollständigen Schutz bieten diese aber nicht.