Der von Tavis Ormandy am Dienstag veröffentlichte Exploit verschafft jedem Benutzer Admin-Rechte auf 32-Bit-Windows-Rechnern, auf denen er sich interaktiv einloggen kann. Dazu gehören in der Regel Arbeitsplatzrechner, aber auch Terminalserver, die von Mitarbeitern genutzt werden.
Ein Operator, der sich auf einem Domain-Controller mit relativ geringen Rechten anmelden darf, etwa als Mitglied der Gruppe Print Operators, kann sich leicht zu einem Volladministrator machen und mit entsprechenden Tools das Active Directory manipulieren.
Die Gefahr liegt vor allem darin, dass Ormandy eine EXE- und eine DLL-Datei im Internet veröffentlicht hat. Diese Dateien muss ein Angreifer nur in ein beliebiges Verzeichnis kopieren und anklicken. Spezialkenntnisse sind nicht erforderlich.
Die Lücke basiert auf der Funktionsweise des virtuellen 8086-Modus und ist nicht zu schließen. Zwar lassen sich Veränderungen vornehmen, das der derzeit kursierende Exploit nicht mehr funktioniert, das grundlegende Problem liegt jedoch in der Hardware-Implementierung des virtuellen 8086-Modus, so dass neue Exploits geschrieben werden können.
Abhilfe schaffen nur die Installation einer 64-Bit-Version von Windows oder das Abschalten des virtuellen 8086-Modus, der dazu benötigt wird, DOS- und 16-Bit-Windows-Anwendungen auszuführen. In der Regel kann man darauf jedoch verzichten.
Vorsicht ist geboten, wenn ein Nutzer physischen Zugang zu einem Rechner hat, beispielsweise mobile Anwender mit einem Laptop. Dann kann er das VDM-Verbot in der Registry wieder aufheben. Da es zahlreiche Möglichkeiten gibt, die Registry und die SAM mit einem Boot-Medium zu manipulieren, sollten sicherheitsbewusste Firmen über die Einführung einer Festplattenverschlüsselung wie Bitlocker nachdenken.
Lesermeinungen zum Artikel
Wer seine Rechner absichern will kann das jedoch im Bios verhindern und somit das auslesen der lokalen Dateien zumindest erschweren. Zugleich verhindert er auch Änderungen in der Regestry.
Thomas Hoffmann
Biometrische Kennungen kann das ebenfalls nicht aushebeln.
Der Hacker muss lokal angemeldet sein, wenn er die Luecke ausnutzen will, wie man spaeter erfaehrt.
Alle anderen muessten die Bootpartition verschluesseln, um ganz sicher zu sein, da sonst die Registry mittels CD wieder manipuliert werden kann.
Tom