Windows 8.1 Lücke entdeckt und veröffentlicht, könnte Angreifern Admin-Rechte einräumen
Am 13. Januar steht der erste Patch-Tuesday für Produkte von Microsoft an. An diesen Tagen werden in der Regel Sicherheitslücken geschlossen. Gut möglich, dass Microsoft aber bereits früher ran muss, ein Google-Sicherheitsforscher (forshaw) hat eine kritische Lücke entdeckt und veröffentlicht. Microsoft wurde bereits im September 2014 über die Lücke informiert, nach Googles 90-Tage-Zeitfenster wurde sie nun öffentlich gemacht. Einen Patch gibt es aktuell noch nicht. Die Lücke ermöglicht es, über Tokens jedes Programm als Administrator auszuführen, ob der Nutzer dazu überhaupt berechtigt ist, wird nicht geprüft.
Microsoft hat mitgeteilt, dass diese Lücke besteht und man an einer Lösung arbeitet. Bis es zu einer Patch-Auslieferung kommt, sollen Nutzer ihre Antiviren-Programme und Firewalls aktuell halten, um eine Ausnutzung der Lücke zu verhindern. Bei Google Security Research wird inzwischen diskutiert, ob man eine solche Lücke, die Millionen von Nutzern betrifft, tatsächlich öffentlich machen sollte. Diese Diskussion gab es bereits, als Google die 90-Tage-Frist einführte. Die Bestätigung von Microsoft, dass man jetzt an einem Patch arbeitet, zeigt jedoch, dass es anscheinend durchaus den Druck erhöht. In den letzten drei Monaten kam schließlich kein Patch seitens Microsoft, obwohl der Fehler bekannt war.
Ob die Lücke bereits ausgenutzt wird, ist nicht bekannt. Bestätigt ist sie übrigens in Windows 8.1 Update (32- und 64-Bit), ob ältere Windows-Versionen auch betroffen sind ist unklar.
(Quelle: Softpedia)
Wird geladen ...
Da sieht man mal wieder ganz deutlich, was Microsoft eigentlich für ein unfähiger Haufen Idioten ist! Ich bezweifele sehr stark das der aktuelle CEO das Ruder rumreißen kann!
Naja, dass es A**le besser macht, will ich mal bezweifeln… 😉
Warum sollte Microsoft ein Haufen unfähiger Idioten sein? Weil sie sich Zeit lassen, eine Sicherheitslücke die nur ein paar Leuten bekannt ist zu fixen? Vielleicht weil auch dort über Weihnachten niemand arbeitet und das fixen seine Zeit dauert? Sehr beschränke Weltanschauung, die manche hier haben…
BTW: Warum ist das bitte eine „schwere“ Sicherheitslücke? IMHO eher moderate risk. Immerhin muss man schon auf dem System angemeldet sein, um die Sicherheitslücke ausnutzen zu können. Genauso die Frage: Wieso heißt es in der Meldung, dass Microsoft JETZT an einem Patch arbeitet? Steht irgendwo, dass man es vorher nicht getan hat? Die Qualität der Beiträge hier lässt deutlich nach….
@Dominik: It is better to keep your mouth shut and be thought a fool, than to open it and remove all doubt.
Die Lücke ist gar nicht so gefährlich:
Um den Bug auszunutzen muss man bereits mit einem Admin-Account eingeloggt sein, und die UAC darf nicht auf höchster Stufe stehen (was aber bei Win8 Standard ist).
Es ist nicht möglich als eingeschränkter Benutzer Adminrechte zu bekommen.
Das Microsoft trotzdem es nicht schafft nach 90Tage einen Fix zu veröffentlichen ist wirklich erbärmlich.
@John die Qualität der kommentare aber auch 🙂
Nein im Ernst, haste es richtig gelesen 90Tage Frist und da schaffen die es nicht einen Patch rauszubringen. Oder könnte es eventuell daran liegen das MS die an … weiterverkauft oder die die nicht schließen dürfen. Nur ein paar Leute bekannt, so lebst, bzw wann lebst du. In der heutigen Zeit gibt es Webseiten wo man genau solche Bugs kaufen kann. Diese sind auch nur einigen Leuten bekannt. Also ein solch ein Riesenbug gehört so schnell wie möglich gefixt. Denn 8.1 gibt es ja nicht umsonst, sonder es kostet ein haufen Geld und da kann man soetwas schon verlangen. Denke mal an die Firmen, egal ob da eben mal ein Bug im Netzwerk ausgenutzt wird, die haben ja genug Experten die auf sowas aufpassen. Nichts für ungut aber MS ist ein lahmer Verein geworden, erst bei sowas reagieren die ziemlich schnell
@John Conner
Ich betrachte es als eine sehr kritische Sicherheitslücke, wenn praktisch ein beliebiger Prozess, der im Nutzer-Kontext gestartet wurde, Admin-Rechte bekommt.
Ich wundere mich auch stark, warum MS das in 90 Tagen nicht gefixt bekommt.
Ich frage ich aber ein wenig, was die Qualität des Geschriebenen angeht. Viel Text für sehr wenig Infos:
1. Google findet eine Sicherheitslücke, die es erlaubt, Admin-Rechte für einen Prozess zu bekommen.
2. Google meldet vor 90 Tagen die Sicherheitslücke an MS
3. Google macht die Sicherheitslücke öffentlich
4. Es gibt keinen Patch, MS arbeitet aber daran
Mein Lieblingssatz ist: „Bis es zu einer Patch-Auslieferung kommt, sollen Nutzer ihre Antiviren-Programme und Firewalls aktuell halten, um eine Ausnutzung der Lücke zu verhindern.“
Danach kann man das dann wieder schleifen lassen? Vielleicht sollte man eher für eine zuverlässige Unterbrechung der Energieversorgung seines Windows-PCs sorgen. 😉
@Dirk:
Sorry, aber du scheint von IT keine Ahnung zu haben.
Glaubst du an Tag 1 wenn so ein Fehler an MS gemeldet wird, setzt sich sofort ein Entwickler hin und programmier eine Lösung, die dann eben, wenn sie von dem Entwickler als Gut befunden wird über Windows Update verteilt wird? MS soll sicherheitslücken weiterverkaufen… ahja. Bringt auch ziemlich viel eine Sicherheitslücke weiterzuverkaufen, bei deren Ausnutzung man bereits valide credentials für ein System benötigt. Wenn du die News richtig gelesen hast und geistig in der Lage bis diese zu verstehen, hättest du verstanden, dass Google das an Microsoft gemeldet hat und nicht in irgendwelche dubiosen Foren diese Sicherheitslücke aufgetaucht ist. Folglich wissen zunächst nur ein paar Leute bei Google und ein paar Leute bei MS von der existenz dieser Lücke. Und wie gesagt, ist das kein RiesenBug… allein diese Aussage zeigt schon, dass du von Softwareentwicklung kein Plan hast. Sicher ist das ganze unschön und sollte gefixt werden. Die gleiche Bugs gabs es auch schon in anderen OSen zu hunderten. „Denke mal an die Firmen, egal ob da eben mal ein Bug im Netzwerk ausgenutzt wird, die haben ja genug Experten die auf sowas aufpassen.“ Sorry, der Satz mach für mich überhaupt keinen Sinn. Für dich noch: Der Fehler kann NICHT über das Netzwerk ohne weiteres ausgenutzt werden, da man sich ja bereits anmelden muss an einem System, um das Problem überhaupt ausnutzen zu können.
@Dirk: Dein Posting zeigt, dass du von IT keine Ahnung hast. Les dir die Newsmeldung nochmal durch und denke darüber nach. Dann kommst du vielleicht drauf, dass Sätze wie „der könnte es eventuell daran liegen das MS die an … weiterverkauft“ bei diesem Meldung leider am Ziel vorbei gehen.
Existiert eine derartige Lücke nicht sogar schon seit 2009?
http://www.pretentiousname.com/misc/win7_uac_whitelist2.html
@John Conner ohhh…bububu… Ist seut September Weihnachten in den USA??
Deine Weltanschauung ist ja unterirdisch.
aiaiai. leute. tokens für zugiffe werden aus acl´s generiert die wiederum usw… da wird ein grundlegendes problem bestehen. die werden mit sicherheit schon länger dran arbeiten und bestimmt nicht ins win10 mitnehmen wollen. so ne publicity will keiner…