Windows 10 Zero-Day-Exploit in Microsoft Data Sharing

[English]Ein Nutzer mit dem Twitter-Namen @SandboxEscaper hat erneut einen Zero-Day-Exploit in Windows 10 (und den Server-Editionen) offen gelegt und gleich ein Proof of Concept (PoC) auf GitHub veröffentlicht. Es betrifft die Microsoft Data Sharing-Bibliothek dssvc.dll, die eine Rechteausweitung ermöglicht.

Der Twitter-Nutzer @SandboxEscaper hatte bereits vor zwei Monaten mit einem Zero-Day-Exploit im Task-Scheduler (Aufgabenplanung) von sich reden gemacht – dann seinen Twitter-Account aber abgeschaltet (siehe Neue Windows ALPC Zero-Day-Schwachstelle entdeckt).

Schwachstelle in Microsoft Data Sharing-Bibliothek

Jetzt hat sich @SandboxEscaper wieder über Twitter zurückgemeldet und weist auf eine neue Schwachstelle in Windows hin.

https://t.co/1Of8EsOW8z Here's a low quality bug that is a pain to exploit.. still unpatched. I'm done with all this anyway. Probably going to get into problems because of being broke now.. but whatever.

— SandboxEscaper (@SandboxEscaper) 23. Oktober 2018

Der Text des Tweets ist etwas kryptisch, schreibt der Entdecker etwas von einem immer noch ungepatchten 'Fehler von niedriger Qualität', der sich ausnutzen lasse. Gleichzeitig hat er auf GitHub ein Proof of Concept (PoC) veröffentlicht, mit dem sich der Fehler ausnutzen lassen soll. Hier wird die betreffende RAR-Archivdatei sofort als schädlich von Chrome blockiert.

Dem obigen Tweet lässt sich entnehmen, dass @SandboxEscaper sich wohl aus dem Ganzen zurück ziehen will – er habe fertig, schreibt er. Und er deutet wohl an, dass er pleite sei (die vorherige Schwachstelle hatte er versucht, meistbietend zu verkaufen, möglicherweise ist er diesbezüglich 'verbrannt' ). Geht möglicherweise aus diesem Tweet (wohl gelöscht) hervor, wo er andeutet, dass er sich Medikamente auf dem grauen Markt besorgen muss, weil die Gesundheitsversorgung in Belgien Mist ist. Den Andeutungen nach, dürfte er unter einer Depression leiden und scheint dadurch arbeitslos/nicht arbeitsfähig zu sein. Aber das ist eine Spekulation meinerseits.

Ein paar Hinweise zur Schwachstelle

The Hacker News hat sich des Themas in diesem Artikel angenommen. Die Schwachstelle (Zero-Day-Exploit) steht in der Microsoft Data Sharing-Bibliothek dssvc.dll. Diese ist für den Data Sharing Service verantwortlich. Der Data Sharing Service ist ein lokaler Dienst, der als LocalSystem-Konto mit umfangreichen Rechten ausgeführt wird und eine Datenvermittlung zwischen Anwendungen ermöglicht.

Das auf eine Github-Seite veröffentlichte Proof-of-Concept (PoC) nutzt wohl eine Privilege Escalation -Schwachstelle in der Data Sharing-Bibliothek dssvc.dll aus. Die Schwachstelle könnte es einem niedrigprivilegierten Angreifer ermöglichen, seine Berechtigungen auf einem Zielsystem zu erhöhen. Allerdings ermöglicht der von @SandboxEscaper freigegebene PoC-Exploit-Code (deletebug.exe) einem niedrigprivilegierten Benutzer lediglich kritische Systemdateien zu löschen, die andernfalls nur mit Administratorberechtigungen zugreifbar sind. @SandboxEscaper schreibt laut The Hacker News:

"Not the same bug I posted a while back, this doesn't write garbage to files but actually deletes them.. meaning you can delete application dll's and hope they go look for them in user write-able locations. Or delete stuff used by system services c:\windows\temp and hijack them."

Es ist nicht der gleiche Fehler, den der Betreffende vor einer Weile gepostet hat, d.h. es lässt sich nicht in Dateien schreiben. Aber es können Dateien wie DLLs von Anwendungen gelöscht werden. Oder es lassen sich Dinge, die von Systemdiensten verwendet werden (z.B. c:\windows\temp) löschen. Das ermöglicht einen erweiterten Angriffsvektor, wie @SandboxEscaper schreibt.

Ist eine DLL gelöscht, kann man hoffen, dass die Anwendungen, Dienste oder was auch immer dann an Orten (via Suchpfad) suchen, die mit Anwenderrechten beschrieben werden können. Platziert ein Angreifer dann eigene DLLs in diesen Verzeichnissen, ist ein erfolgreiches DLL-Hijacking möglich (das Szenario hatte ich ja mehrfach im Blog adressiert).

Windows 10 und Server-Editionen gefährdet

The Hacker News schreibt, dass der Microsoft Data Sharing-Dienst in Windows 10 und neueren Versionen von Windows Server-Editionen eingeführt wurde. Mit anderen Worten: Nutzer von Windows 7 SP1 und Windows 8.1 samt den Server-Pendants sind von dieser Schwachstelle nicht betroffen.

Der PoC-Exploit wurde von Will Dormann erfolgreich gegen "vollständig gepatchtes Windows 10-System" (V1803) mit den neuesten Sicherheitsupdates vom Oktober 2018, Server 2016 und Server 2019, wie er auf Twitter schreibt.

Confirmed as well on Win10 1803, fully-patched as of October.
It's perhaps worth noting that the service used by the PoC, Data Sharing Service (dssvc.dll), does not seem to be present on Windows 8.1 and earlier systems. https://t.co/W8cNNC4xYO

— Will Dormann (@wdormann) 23. Oktober 2018

An dieser Stelle der Hinweis: Ich empfehle keinem Blog-Leser bzw. keiner Leserin den PoC auszuführen. Keiner weiß, was da in der Datei drin steckt – und der Code kann das Betriebssystem zum Absturz bringen. Weitere Infos findet ihr ggf. bei The Hacker News in diesem Artikel.

Mikropatch von 0patch verfügbar

Was man bei The Hacker News nicht findet: Stunden nachdem der PoC von @SandboxEscaper veröffentlicht wurde, hat sich Mitja Kolsek von 0patch per Twitter zu Wort gemeldet.

Hey, we have a micropatch candidate for your 0day, currently working on fully updated Windows 10 1803. Would you care to try it out? (Please DM)

— Mitja Kolsek (@mkolsek) 23. Oktober 2018

In einem weiteren Tweet von 0patch sieht es so aus, als ob die Schwachstelle nicht mehr ausnutzbar ist.

7 hours after the 0day in Microsoft Data Sharing Service was dropped, we have a micropatch candidate that successfully blocks the exploit by adding impersonation to the DeleteFileW call. As you can see, the Delete operation now gets an "ACCESS DENIED" due to impersonation. pic.twitter.com/qoQgMqtTas

— 0patch (@0patch) 23. Oktober 2018

Zu 0patch und deren Micro-Patches hatte ich ja bereits einige Artikel hier im Blog. Die sind immer recht fix dabei, um Zero-Day-Exploits zu patchen, bevor Microsoft mit einem regulären Update herauskommt.

Ähnliche Artikel:
Neue Windows ALPC Zero-Day-Schwachstelle entdeckt
Windows ALPC 0-day-Lücke wird durch Malware ausgenutzt
Windows ALPC-Schwachstelle (CVE-2018-8440) in Exploit-Kit