Google macht Zero-Day-Lücke in Windows 7 öffentlich

Die Zero-Day-Lücke in Chrome, die Google in der vergangenen Woche geschlossen hat, wurde offenbar zusammen mit einer zweiten ungepatchten Schwachstelle für zielgerichtete Angriffe genutzt. Sie steckt allerdings nicht im Google-Browser, sondern in Microsofts Betriebssystem Windows 7, wie das Unternehmen nun in einem Blogeintrag mitteilt.

Entdeckt wurden beide Anfälligkeiten am 27. Februar von Clement Lecigne, der für Googles Threat Analysis Group arbeitet. Die Angreifer setzten die Kombination aus Browser- und OS-Lücke ein, um Schadcode einzuschleusen und auszuführen.

Den Patch für Chrome hatte Google bereits am 1. März veröffentlicht. Allerdings war aus den Versionshinweisen für Chrome 72.0.3626.121 nicht zu entnehmen, dass es sich um eine Zero-Day-Lücke handelt und das Update infolgedessen unverzüglich installiert werden sollte. Stattdessen hieß es dort lediglich, es werde ein schwerwiegende Use-after-free-Bug in FileReader beseitigt. Diese Komponente des Browsers erlaubt es Websites und Webanwendungen, lokal gespeicherte Dateien zu lesen.

Am 5. März sah sich Google jedoch aus nicht näher bekannten Gründen veranlasst, auf den eigentlichen Schweregrad der Schwachstelle hinzuweisen, nämlich ihren aktiven Einsatz bei aktuellen Hackerangriffen. Details zu der Schwachstelle nannte des Unternehmen jedoch nicht.

Die liefert nun der gestern veröffentlichte Blogeintrag. Dazu gehört, dass der Fehler in Chrome zumindest derzeit mit einer Zero-Day-Lücke in Windows 7 kombiniert wird. Dabei soll es sich um einen Fehler im Kernel-Treiber Win32k.sys handeln, der eine nicht autorisierte Rechteausweitung erlaubt, wodurch es möglich ist, Schadcode außerhalb der Chrome-Sandbox auszuführen.

Google geht davon aus, dass sich diese Schwachstelle tatsächlich nur unter Windows 7 ausnutzen lässt. Neuere Windows-Versionen sollen durch einen besseren Exploit-Schutz nicht anfällig sein. „Bis jetzt ist uns nur eine aktive Ausnutzung gegenüber Windows-7-32-Bit-Systemen bekannt“, sagte Lecigne.

Man habe sich mit der Windows-Zero-Day-Lücke an die Öffentlichkeit gewandt, um Nutzern die Möglichkeit zu geben, sich vor Angriffen zu schützen. Es sei nicht ausgeschlossen, dass Angreifer die Schwachstelle auch mit Fehlern in anderen Browsern kombinierten.

Google weist zudem darauf hin, dass das seit 1. März verfügbare Chrome-Update erst nach einem Neustart des Browsers aktiv wird – die automatische Updatefunktion sorgt lediglich dafür, dass das Update heruntergeladen und installiert wird.

Ein Patch für die Lücke in Windows 7 soll bereits in Arbeit sein. Möglicherweise erscheint er schon am kommenden Dienstag zusammen mit den monatlichen Sicherheitsfixes für Windows.

Whitepaper

CAD-Daten optimal verwalten: ECM-Lösungen vereinfachen Planmanagement

Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Konsolidierte und strukturierte Daten für medizinische Versorgung

Telekom und vitagroup stellen Kliniken offene Plattform zur Verfügung, die Gesundheitsdaten unabhängig von einzelnen Herstellern…

21 Minuten ago

Zahl der Webauftritte sinkt wieder

Auch 2023 war kein gutes Jahr für die Hoster von KMU-Webseiten. Erneut schlossen viele Mittelständler…

40 Minuten ago

Pwn2Own: Google verteilt Sicherheitsupdate für Chrome

Es schließt zwei schwerwiegende Lücken, die eine Remotecodeausführung erlauben. Darüber hinaus stopft Google ein kritisches…

24 Stunden ago

IT-Verzicht fürs Klima – wie viele sind dazu bereit?

Der Digitalverband Bitkom hat 1.000 Deutsche danach befragt, auf welche Angebote sie aus Gründen des…

1 Tag ago

BSI warnt Microsoft-Exchange-Nutzer

Laut Bundesamt sind mindestens 17.000 Instanzen in Deutschland durch eine oder mehrere kritische Schwachstellen verwundbar.

1 Tag ago

Apple kündigt Entwicklerkonferenz WWDC 2024 für 10. Juni an

Die Veranstaltung startet wie in jedem Jahr mit einer Keynote. Apple verspricht Neuerungen für alle…

1 Tag ago