Google macht Zero-Day-Lücke in Windows 7 öffentlich

Hacker nutzen sie zusammen mit der kürzlich geschlossenen Zero-Day-Lücke in Chrome für zielgerichtete Angriffe. Google schließt nicht aus, dass sich der Windows-Bug auch mit Lücken in Browsern anderer Hersteller kombinieren lässt. Der Fehler steckt im Kerneltreiber Win32k.sys.

Die Zero-Day-Lücke in Chrome, die Google in der vergangenen Woche geschlossen hat, wurde offenbar zusammen mit einer zweiten ungepatchten Schwachstelle für zielgerichtete Angriffe genutzt. Sie steckt allerdings nicht im Google-Browser, sondern in Microsofts Betriebssystem Windows 7, wie das Unternehmen nun in einem Blogeintrag mitteilt.

Windows 7: Supportende 2020 (Bild: Microsoft)Entdeckt wurden beide Anfälligkeiten am 27. Februar von Clement Lecigne, der für Googles Threat Analysis Group arbeitet. Die Angreifer setzten die Kombination aus Browser- und OS-Lücke ein, um Schadcode einzuschleusen und auszuführen.

Den Patch für Chrome hatte Google bereits am 1. März veröffentlicht. Allerdings war aus den Versionshinweisen für Chrome 72.0.3626.121 nicht zu entnehmen, dass es sich um eine Zero-Day-Lücke handelt und das Update infolgedessen unverzüglich installiert werden sollte. Stattdessen hieß es dort lediglich, es werde ein schwerwiegende Use-after-free-Bug in FileReader beseitigt. Diese Komponente des Browsers erlaubt es Websites und Webanwendungen, lokal gespeicherte Dateien zu lesen.

Am 5. März sah sich Google jedoch aus nicht näher bekannten Gründen veranlasst, auf den eigentlichen Schweregrad der Schwachstelle hinzuweisen, nämlich ihren aktiven Einsatz bei aktuellen Hackerangriffen. Details zu der Schwachstelle nannte des Unternehmen jedoch nicht.

Die liefert nun der gestern veröffentlichte Blogeintrag. Dazu gehört, dass der Fehler in Chrome zumindest derzeit mit einer Zero-Day-Lücke in Windows 7 kombiniert wird. Dabei soll es sich um einen Fehler im Kernel-Treiber Win32k.sys handeln, der eine nicht autorisierte Rechteausweitung erlaubt, wodurch es möglich ist, Schadcode außerhalb der Chrome-Sandbox auszuführen.

Google geht davon aus, dass sich diese Schwachstelle tatsächlich nur unter Windows 7 ausnutzen lässt. Neuere Windows-Versionen sollen durch einen besseren Exploit-Schutz nicht anfällig sein. „Bis jetzt ist uns nur eine aktive Ausnutzung gegenüber Windows-7-32-Bit-Systemen bekannt“, sagte Lecigne.

Man habe sich mit der Windows-Zero-Day-Lücke an die Öffentlichkeit gewandt, um Nutzern die Möglichkeit zu geben, sich vor Angriffen zu schützen. Es sei nicht ausgeschlossen, dass Angreifer die Schwachstelle auch mit Fehlern in anderen Browsern kombinierten.

Google weist zudem darauf hin, dass das seit 1. März verfügbare Chrome-Update erst nach einem Neustart des Browsers aktiv wird – die automatische Updatefunktion sorgt lediglich dafür, dass das Update heruntergeladen und installiert wird.

Ein Patch für die Lücke in Windows 7 soll bereits in Arbeit sein. Möglicherweise erscheint er schon am kommenden Dienstag zusammen mit den monatlichen Sicherheitsfixes für Windows.

Whitepaper

CAD-Daten optimal verwalten: ECM-Lösungen vereinfachen Planmanagement

Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.

Themenseiten: Browser, Chrome, Google, Microsoft, Security, Sicherheit, Windows 7, Zero-Day

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Google macht Zero-Day-Lücke in Windows 7 öffentlich

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *