Verschlüsselung & Datensicherheit

Windows Defender mit kritischer Sicherheitslücke

11.04.2018

Nach fehlgeschlagenen Bugfixes ermöglichte die Malware Protection Engine von Microsoft die zeitweise Remote Code Execution mittels präparierter RAR-Archive. Zur Behebung des Problems steht zwischenzeitlich ein Update bereit, das automatische verteilt wird.

Sicherheitslücke entdeckt

Sie fixten im Open-Source-Code für RAR-Archive. Dabei schleusten die Microsoft-Entwickler eine eigene Sicherheitslücke in den Windows Defender und die firmeneigenen Sicherheitslösungen für Windows-Server ein. Das entdeckte Thomas Dullien alias Halvar Flake von Googles Project Zero, wie heise.de dazu berichtete.

Der Sicherheitsforscher erklärte, dass Microsofts Malware Protection Engine (MPE) offenbar Code aus einer älteren, geforkten Version des Tools unrar enthält. Um darin enthaltene Schwachstellen zu beheben, änderten Microsofts Entwickler die meisten zuvor mit Vorzeichen versehene ("signed") Integer-Variablen zu "unsigned" (vorzeichenlos). Anschließend entfernten sie kurzerhand eine Code-Passage, die ursprünglich der Vorzeichenüberprüfung diente.

Neue Sicherheitslücke entstanden

Die vorgenannten Schritte bildeten die Basis für eine neue Sicherheitslücke mit der Bezeichnung CVE-2018-0986. Sie wird als kritisch eingestuft und ermöglicht unter bestimmten Voraussetzungen die Codeausführung im Kontext der MPE durch einen entfernten Angreifer.

Wie weiter dazu verlautete, müssten potenzielle Angreifer laut Microsofts Sicherheitshinweis die MPE zum Scan einer speziell präparierten (beispielsweise als E-Mail-Anhang, Drive-by-Download oder via Phishing verteilten) RAR-Datei bewegen, um die Sicherheitslücke auszunutzen. Sofern der Echtzeitschutz aktiviert ist, geschieht dies bei jedem Datei-Download automatisch. Auch Server, auf denen die Engine läuft, könnten über die Lücke angegriffen werden – beispielsweise dann, wenn sie Nutzern den (RAR-)Datei-Upload ermöglichen.

Microsoft gibt Entwarnung

Ab Version 1.1.14700.5 ist die MPE gegen die Angriffsstrategie aus der Ferne abgesichert. Microsoft weist daraufhin, dass für Endnutzer und Admins normalerweise kein Handlungsbedarf besteht: Defender, Exchange Server, Forefront Endpoint Protection und Co. holen sich das entsprechende Update automatisch. Alternativ kann die MPE natürlich auch manuell aktualisiert werden.

Weiterführende Links:

Thomas Dullien: bugs.chromium.org: Windows Defender inspects a variety of different archive formats, among others RAR.

CVE-2018-0986

Sicherheitshinweis Microsoft

heise.de: Windows Defender verschluckt sich an RAR

Zurück

Diesen Beitrag teilen

Weitere Meldungen zum Thema

Verschlüsselung & Datensicherheit

Spyware auf EU-Abgeordneten-Handys

Bedrohungen, die speziell auf Android-, Chromebook- oder iOS-Mobilgeräte abzielen, nehmen laut Sicherheitsexperten nicht nur in der Anzahl zu, sondern auch in der Daten-Tiefe, die aus Geräten mittels unberechtigter Zugänge „ausgelesen“ wird.

Verschlüsselung & Datensicherheit

Was bringt 2024? Ist die Zukunft sicher und passwort-frei?

Es ist ein offenes Geheimnis, dass Passwörter nach wie vor eines der Haupteinfallstore für Cyberangriffe sind, weil sich insbesondere schwache Passwörter durch Brute-Force-Angriffe, bei Password-Spraying-Kampagnen oder mittels Social Engineering kompromittieren lassen. Starke Passwörter erhöhen die Sicherheit, wenn sie lang und zufällig sind.

Verschlüsselung & Datensicherheit

Cyber-Crime-Trends: innovative Schadprogramme, aber immer wieder bekannte Phishing-Strategien

Ein führender Anbieter in den Bereichen Cybersicherheit für das Internet of Things sowie verschlüsselte Sprach- und Digitalkommunikation warnt vor einem beunruhigenden Anstieg einzigartiger Schadprogramme.

Verschlüsselung & Datensicherheit

Investieren deutsche Unternehmen ihre Cybersicherheitsbudgets in die richtigen Lösungen?

Die Forschung zu Cyber-Sicherheitsthemen hat in den letzten Jahren stetig neue Innovation hervorgebracht – und da es eine ständig wachsende Zahl an Bedrohungen zu bekämpfen gilt, wird dies auch weiterhin von Nöten sein. Die noch junge Cyber-Sicherheitsbranche hat zahlreiche Optionen auf den Markt gebracht, mit denen sich Unternehmen wirkungsvoll gegen Cyber-Bedrohungen schützen können.

Diese Themen könnten Sie auch interessieren!