Der IT-Sicherheitsforscher Tavis Ormandy hat in seiner jüngsten Publikation eine schwerwiegende Sicherheitslücke in dem Text Services Framework (TSF) von Windows ermittelt.

Diese Sicherheitslücke betrifft ausnahmslos alle Windows Versionen, seit Windows XP und ermöglicht eine systemweite Entfaltung der eigenen Nutzerrechte (privilege escalation) und bietet potenziellen Angreifern eine Vielzahl von Möglichkeiten, auf die wir im späteren Verlauf noch näher eingehen werden.

Zunächst soll gesagt sein, dass Tavis Ormandy bei Weitem kein Unbekannter in der Sicherheitsforscher-Szene ist. Als Mitarbeiter von Google´s hauseigenem Elite-Hacker Team „Project Zero“, hat er schon mehrere namenhafte Softwarehersteller das Fürchten gelehrt, indem er kritische Sicherheitslücken in deren Produkten offenlegte und veröffentlichte.

Innerhalb des TSF besteht die Funktion, Eingabesprachen zu wählen, welche dann automatisch durch das TSF mit dem benötigten Input Method Editor (IME) bestückt werden. Ein Anwendungsbeispiel wäre die Eingabe von asiatischen Schriftzeichen. Hierbei werden die Zeichen zunächst als westliche Zeichen eingegeben und im Hintergrund in die entsprechenden asiatischen Zeichen umgewandelt.

Ein folgenschwerer Denkfehler

Der hierfür verantwortliche Prozess, innerhalb des TSF, nennt sich CTF und wurde erstmals mit Windows XP eingeführt. Wie Ormandy herausfand, hat der beschriebene Prozess Systemrechte und gleichzeitig keinerlei Überprüfung der ihm übermittelten Eingaben.

Die hierdurch offenbarte Problematik konnte sich Ormandy zu Nutze machen, um letztendlich System-Privilegien zu erhalten und auf dieser Basis Aktionen durchzuführen. Dies betrifft nicht „nur“ den regulären System-Betrieb, sondern gestattet außerdem problemlos den Ausbruch aus einer virtuellen Umgebung.

Auf Basis dieser Erkenntnisse, hat Ormandy ein Tool entwickelt und veröffentlich, welches diese Schwachstelle im CTF-Protokoll ausnutzt, um unterschiedliche Aktionen durchzuführen, wie beispielsweise das Starten einer Kommandozeile mit System-Rechten.

Die gute Nachricht ist, dass Microsoft umgehend mit einem Patch auf die gefundene Sicherheitslücke reagiert hat.

Konkret bedeutet das, dass alle ungepatchten Systeme anfällig für die aufgefundene Sicherheitslücke sind und somit ein breites Feld an Angriffsmöglichkeiten für neue Malware bieten. Auf diesem Wege hat Schadsoftware die Möglichkeit, sich ohne Administratorenrechte, tief im System zu verwurzeln und das Windows-System vollständig zu kompromittieren. Ein denkbarer Anwendungsfall wäre Ransomware, die auf diese Weise ein Vielfaches ihrer zerstörerischen Kraft entfesseln kann und Schutzmechanismen, wie etwa eine Verwaltung der Rechte, Antiviren Schutz oder gar die gesamte Virtualisierung des Betriebssystems mit Leichtigkeit umgehen kann.

Somit bleibt nur die alte Empfehlung erneut zu wiederholen: Alle Systeme sind stets auf dem aktuellsten Stand zu halten.