Cortana gibt Zugang zu sensiblen Informationen via Sperrbildschirm, Microsoft verteilt Update
Microsoft verteilt aktuell ein Update für Windows 10 (KB4284819), das man laut McAfee auch tunlichst installieren sollte – oder seinen PC nicht unbeaufsichtigt lassen. Denn offenbar ist Cortana recht redselig, wenn man sie nach bestimmten Dingen fragt. Auch bei gesperrtem PC lassen sich so Informationen entlocken, die man besser verschlossen hält. Das Ergebnis ist CVE-2018-8140, gepatcht von Microsoft am 12. Juni. Laut Microsoft wurde die Lücke bisher auch nicht ausgenutzt.
Die Angriffsmethode macht sich „Hey Cortana“ zunutze, um Zugriff auf sensible Inhalte zu erlangen oder im letzten Schritt auch Code auszuführen. Setzt natürlich voraus, dass Cortana auf dem Sperrbildschirm aktiv ist, eine Standardeinstellung, die bei vielen Nutzern so gesetzt sein dürfte. Auf diese Weise kann man relativ problemlos auf Inhalte zugreifen, solange diese nicht ausführbar sind. Ausführbare Dateien können zwar angesprochen werden, deren Ausführung erfordert dann aber den ordnungsgemäßen Login bei Windows.
Letztendlich ist es über eine Reihe von Aktionen aber möglich, Code auf dem PC auszuführen. Schützen kann man sich davor auf zwei Arten. Einmal kann man einfach den von Microsoft zur Verfügung gestellten Patch installieren, zum anderen kann man aber auch einfach Cortana auf dem Lockscreen deaktivieren. Muss man natürlich nicht, wenn gepatcht ist, die Funktionalität wird man in den meisten Fällen ja behalten wollen.
Die genaue Vorgehensweise zur Ausnutzung der Lücke, könnt Ihr bei McAfee nachlesen, durchaus interessant, wenngleich in der Praxis wohl keine allzu große Gefahr.
Wird geladen ...
Ich bin kein Fan davon, dass in solchen Fällen immer recht detaillierte Beschreibungen veröffentlicht werden, wie sich so ein Fehler ausnutzen lässt. Sicher, wer es drauf anlegt, wird auch andere Quellen kennen, ich kann mir aber trotzdem gut vorstellen, dass durch Hinweise auf bekannten und ansonsten vielleicht auch seriösen Webseiten viele erst darauf gebracht werden, das auch zu machen.
Das kann ich mir auf keinen Fall vorstellen, Leute, die zu solchen Szenarien fähig sind, haben andere Quellen.
Für gewöhnlich wird dem Unternehmen mehrere Monate Zeit gegeben zu reagieren, viele Unternehmen nutzen diesen Zeitraum voll aus, erst dann wird veröffentlicht, oder aber wenn ein Patch zur Verfügung steht, die Gefahr also nicht mehr existent ist.
Wobei es natürlich auch Leute gibt, die monatelang kein Update installieren.