Exploit für unsauber gepatchte Windows 0-day-Schwachstelle CVE-2020-0986

[English]Sicherheitsforscher haben nachgewiesen, dass eine im Juli 2020 in Windows gepatchte Sicherheitslücke weiterhin ausnutzbar ist. Der Patch schließt eine Schwachstelle nicht genügend, so dass eine andere Möglichkeit zur Ausnutzung besteht.


Anzeige

Die Schwachstelle CVE-2020-0986

Im Mai 2020 hatten Sicherheitsforscher vom Google Projekt Zero die Schwachstelle CVE-2020-0986 in diesem Dokument beschrieben. Auch die Zero Day Initiative hat die Schwachstelle am 19. Mai 2020 beschrieben.  Sicherheitsforscher von Kaspersky haben in Windows 10 1909/1903 und früheren Versionen eine  Untrusted Pointer Dereference gefunden. Microsoft schreibt dazu:

Es besteht eine Sicherheitsanfälligkeit bezüglich Rechteerweiterungen, die dadurch verursacht wird, dass der Windows-Kernel Objekte im Arbeitsspeicher nicht ordnungsgemäß verarbeitet. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kernelmodus beliebigen Code ausführen. Der Angreifer könnte dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten erstellen.

Um diese Sicherheitsanfälligkeit auszunutzen, muss sich ein Angreifer zuerst am System anmelden. Ein Angreifer kann dann eine speziell gestaltete Anwendung ausführen, um die Kontrolle über ein betroffenes System zu übernehmen.

Im Juni 2020 hat hat Microsoft ein Sicherheitsupdate zum Schließen dieser Schwachstelle freigegeben (siehe).

Schwachstelle immer noch ausnutzbar

Sicherheitsforscherin Maddie Stone  vom Google Project Zero hat nun entdeckt, dass Microsofts Patch vom Juni 2020 die ursprüngliche Schwachstelle (CVE-2020-0986) nicht behoben hat. Nach einigen Anpassungen kann die Schwachstelle immer noch ausgenutzt werden. Darauf weist sie in einigen Tweets hin.

Windows Schwachstelle CVE-2020-0986

Im Project Zero-Bug-Tracker findet sich der Hinweis vom September 2020, dass die Schwachstelle CVE-2020-0986, die seinerzeit in freier Wildbahn ausgenutzt wurde, ungefixt ist. Zur Ausnutzung der Schwachstelle muss nur Ausnutzungsmethode geändert werden. Ein Prozess mit niedriger Integrität kann LPC-Nachrichten an splwow64.exe (mittlere Integrität) senden und ein Schreib-Was-Wo-Primitiv im Speicherbereich von splwow64 erlangen. Es gibt also eine Rechteerhöhung und der Angreifer kann das Ziel, den Inhalt der kopiert wird, und die Anzahl der Bytes, die durch einen memcpy-Aufruf kopiert kontrollieren.

Stone hat ein Proof of Concept (PoC) erstellt und Microsoft informiert. Die Beschreibung im Google Project Zero wurde nun automatisch nach Ablauf von 90 Tagen veröffentlicht. Aktuell gibt es von Microsoft keinen Patch für die Schwachstelle, denn das Vorhaben, ein Update zum November 2020 freizugeben, konnte nicht eingehalten werden. Beim Testen wurden gravierende Probleme mit dem Update gefunden. Microsoft hat bereits gesagt, dass ein Update nicht vor dem 6. Januar 2020 verfügbar ist. Weitere Hinweise sind bei Bleeping Computer zu finden.

Ähnliche Artikel:
ZDI publiziert fünf Windows 0-day Schwachstellen
BSI warnt vor mehreren kritischen Windows-Schwachstellen


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Sicherheit, Windows 10 abgelegt und mit , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

4 Antworten zu Exploit für unsauber gepatchte Windows 0-day-Schwachstelle CVE-2020-0986

  1. Stephan sagt:

    Exploits die ein Lokales Anmelden inklusive Ausführen eines speziellen Manipulierten programmes erfordern sind fast unwichtig und für einen Computer benutzer mit minimal Hirn absolut zu vernachlässigen.

    Das sieht Microsoft vermutlich genauso und kümmert sich nicht sofort darum.

    • Günter Born sagt:

      Hätte ich so wie Du gesehen … wenn nicht im Sommer explizite Warnungen des BSI vor genau dieser Schwachstelle herumgereicht wurden – und wenn Microsoft den Patch nicht für Nov. 2020 auf dem Radar gehabt hätte, den aber wegen Problemen zurückstellen musste. Und seit dem Sunburst-Thema sollte man so etwas auch auf dem Radar behalten – imho.

      Der Beitrag ist als Information gedacht – machen könnt ihr eh nicht viel.

    • Info sagt:

      Dann brauchen wir uns um Sie ja keine Sorgen machen…

  2. Oliver L sagt:

    Patch = Windows 10 2004 oder 20H2?
    Sollte für 99,999 % der Nutzer klappen. Und gegen Hacker in Firmen mit lokalen Anmelderechten ist ohnehin fast kein Kraut gewachsen. Stoppt dort ggf. ESET o. ä.

Schreibe einen Kommentar zu Oliver L Antworten abbrechen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.