Original-URL des Artikels: https://www.golem.de/news/hp-philips-fujitsu-bloatware-auf-millionen-notebooks-ermoeglicht-codeausfuehrung-1704-127485.html    Veröffentlicht: 25.04.2017 19:00    Kurz-URL: https://glm.io/127485

HP, Philips, Fujitsu

Bloatware auf Millionen Notebooks ermöglicht Codeausführung

Ein vorinstalliertes Programm auf Notebooks nahmhafter Hersteller ist ein Sicherheitsrisiko für die Benutzer. Millionen Geräte sind betroffen, es gibt einen Patch und ein Workaround.

Ein unscheinbares Programm zur Verwaltung von Bildschirmeinstellungen, das auf zahlreichen Notebooks vorinstalliert ist, kann Angreifer in die Lage versetzen, Code auf dem Gerät auszuführen. Wie die Wiener Sicherheitsfirma SEC Consult schreibt, ermöglicht ein von der Firma Portrait Displays Inc erstelltes Programm, Befehle einzuschleusen und mit Systemrechten auszuführen. Der Hersteller hat das Problem behoben.

Nutzer sehen dabei nicht den eigentlichen Titel des Programms - dieses wird vom jeweiligen Hersteller gebrandet. Bei Fujitsu etwa heißt es "DisplayView Click". Auch wenn das Programm grundsätzlich sinnvolle Funktionen ermöglicht, bezeichnet Sec Consult die Software als Bloatware, also als ein vorinstalliertes, meist ungewollt installiertes Programm. Um die Sicherheitslücke auszunutzen, müssen zunächst einige Parameter über den Windows-Befehl "sc" ausgelesen werden. Werden die erhaltenen Werte von der "Security Descriptor Definition Language" in von Menschen lesbare Befehle übersetzt, zeigt sich, dass alle bei Windows authentifizierten Benutzer Schreibzugriff auf die Applikation haben. Um Code auszuführen, muss der Binärpfad der Datei geändert werden, vom gewählten Ort kann dann beliebiger Code über den Dienst PDI-Service ausgeführt werden. Da dieser Dienst auf dem System-Berechtigungslevel arbeitet, können die dem eigentlichen Nutzer zur Verfügung stehenden Berechtigungen erweitert werden (Privilege Escalation).

Exploit ist nicht sehr kompliziert

Zunächst muss der Dienst vom Angreifer gestoppt werden, dann wird der Pfad auf die Kommandozeileneingabe von Windows umgestellt. Hier kann dann beliebiger Code ausgeführt werden. Nach Angaben von Sec Consult können etwa neue Benutzer angelegt oder deren Gruppenzugehörigkeit verändert werden.

Die Sicherheitsfirma kritisiert, dass Hersteller häufig gedankenlos Software von Drittanbietern einkaufen, ohne diese gründlich auf mögliche Schwachstellen hin zu überprüfen. Immerhin hat der Hersteller der Software wohl schnell auf die Fehlermeldungen reagiert und gepatchte Versionen zur Verfügung gestellt. Wer das Update aus Gründen derzeit nicht einspielen kann, kann die Berechtigungen der App mit dem Befehl: "sc sdset pdiservice D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA) (A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)" selbst ändern.  (hg)


Verwandte Artikel:
Fluggastdaten: Regierung dementiert Hackerangriff auf deutsches PNR-System   
(10.03.2018, https://glm.io/133261 )
Inspiron 17 (5775): Dell hat günstiges 17-Zoll-Notebook mit Ryzen   
(05.03.2018, https://glm.io/133140 )
Elitebook 7x5 G5: HP plant Business-Ultrabooks mit Ryzen Pro   
(07.03.2018, https://glm.io/133190 )
Lifebook U938: Das fast perfekte Business-Ultrabook bekommt vier Kerne   
(24.02.2018, https://glm.io/132968 )
Sicherheitslücke: Lenovo warnt schon wieder vor vorinstallierter Software   
(27.06.2016, https://glm.io/121773 )

© 1997–2019 Golem.de, https://www.golem.de/