20 Jahre unbemerkt und nun behoben
Project Zero - Tavis Ormandy
In der jüngsten Publikation des IT – Sicherheitsforschers Tavis Ormandy berichtete er eine schwerwiegende Sicherheitslücke in dem Text Services Framework (TSF) von Windows ermittelt zu haben. Zunächst sollte gesagt sein, der Name Tavis Ormandy ist bei Weitem kein Unbekannter in der Sicherheitsforscher-Szene. Als Teil von „Project Zero“, Google´s hauseigenem Elite-Hacker Team brachte er schon des Öfteren kritische Sicherheitslücken in den Produkten namenhafte Softwarehersteller ans Licht und veröffentlicht diese auf diesem Weg hat er dem ein oder anderem Unternehmen schon das Fürchten gelehrt. Seit Windows XP bis hin zu Windows 10 betrifft diese Sicherheitslücke ausnahmslos alle Versionen. Diese Lücke bietet potenziellen Angreifern eine Vielzahl von Möglichkeiten, durch eine systemweite Entfaltung der eigenen Nutzerrechte (privilege escalation). Darauf werden wir im späteren Verlauf noch näher eingehen. Innerhalb des TSF besteht die Funktion, Eingabesprachen zu wählen, welche dann automatisch durch das TSF mit dem benötigten Input Method Editor (IME) bestückt werden. Ein Anwendungsbeispiel wäre die Eingabe von asiatischen Schriftzeichen. Hierbei werden die Zeichen zunächst als westliche Zeichen eingegeben und im Hintergrund in die entsprechenden asiatischen Zeichen umgewandelt.
Ein folgenschwerer Denkfehler
Verantwortlich hierfür ist CTF ein Prozess, innerhalb des TSF der erstmals mit Windows XP eingeführt wurde. Wie Ormandy herausfand, hat der beschriebene Prozess Systemrechte und gleichzeitig keinerlei Überprüfung der ihm übermittelten Eingaben. Ormandy machte sich diese offenbarte Problematik zu Nutze, um letztendlich System-Privilegien zu erhalten und auf dieser Basis Aktionen durchzuführen. Dies betrifft nicht „nur“ den regulären System-Betrieb, sondern gestattet außerdem problemlos den Ausbruch aus einer virtuellen Umgebung. Ormandy entwickelte ein Tool, dass auf Basis seiner Erkenntnisse die Schwachstelle im CTF-Protokoll ausnutzt und veröffentlichte dieses. Beispielsweise konnte er somit das Starten einer Kommandozeile mit System-Rechten durchführen nur eine der möglichen Aktionen, die sich Ihm nun bieten.
Die gute Nachricht ist, dass Microsoft umgehend mit einem Patch auf die gefundene Sicherheitslücke reagiert hat.
Unser Fazit
Konkret bedeutet das, dass alle ungepatchten Systeme anfällig für die aufgefundene Sicherheitslücke sind und somit ein breites Feld an Angriffsmöglichkeiten für neue Malware bieten. Auf diesem Wege hat Schadsoftware die Möglichkeit, sich ohne Administratorenrechte, tief im System zu verwurzeln und das Windows-System vollständig zu kompromittieren. Ein denkbarer Anwendungsfall wäre Ransomware, die auf diese Weise ein Vielfaches ihrer zerstörerischen Kraft entfesseln kann und Schutzmechanismen, wie etwa eine Verwaltung der Rechte, Antiviren Schutz oder gar die gesamte Virtualisierung des Betriebssystems mit Leichtigkeit umgehen kann.
Somit bleibt nur die alte Empfehlung erneut zu wiederholen: Alle Systeme sind stets auf dem aktuellsten Stand zu halten.