Kritische Chrome Schwachstelle bedroht 32-Bit-Windows 7

[English]Die Anfang März 2019 durch ein Update im Google Chrome-Browser geschlossene, kritische Sicherheitslücke gefährdet momentan nur Nutzer unter einer 32-Bit-Version von Windows 7. Hintergrund ist, dass es auch in Windows 7 eine 0-day-Schwachstelle gibt. Hier ein paar Details.

Schwachstelle CVE-2019-5786 im FileReader

Ich hatte gestern im Blog-Beitrag Google Chrome 72.0.3626.121 schließt kritische Schwachstelle auf die Thematik hingewiesen. In älteren Chrome 72-Versionen gibt es eine als kritisch eingestufte Schwachstelle CVE-2019-5786 im FileReader. Diese ermöglicht es Dritten, per FileReader-API des Browsers, aus böswillig gestaltete Webseiten auf die lokal auf dem Gerät gespeicherte Dateien zuzugreifen. Das könnte, laut diversen Webseiten wohl auch verwendet werden, das Gerät zu übernehmen oder eine Denial-of-Service Bedingung auszulösen.

Details zur Schwachstelle hat Google seinerzeit nicht genannt. Allerdings wurde bekannt, dass diese Schwachstelle 'in the wild' aktiv angegriffen wird. Ein Update auf die aktuelle Chrome-Version 72.0.3626.121 ist also angesagt.

Nur 32-Bit-Windows 7 ist gefährdet

Zum 7. März 2019 hat Google in seinem Security-Blog den Artikel Disclosing vulnerabilities to protect users across platforms veröffentlicht, die mehr Licht ins Dunkel bringt. Bereits am Mittwoch, den 27. Februar, berichteten Google-Entwickler über zwei 0-day-Exploits, die bisher öffentlich unbekannt waren. Eine der Schwachstellen betraf Google Chrome und eine weitere ist in Microsoft Windows zu suchen. Bei den beobachteten Angriffen wurden die beiden Schwachstellen gemeinsam ausgenutzt.

Um die Chrome-Schwachstelle (CVE-2019-5786) zu beheben, veröffentlichte Google am 1. März ein Update für alle Chrome-Plattformen. Dieses Update wurde durch das automatische Chrome-Update gezogen und installiert. Die Chrome-Entwickler empfehlen Benutzern, sich zu vergewissern, dass das der Browser automatisch auf 72.0.3626.121 oder höher aktualisiert wurde.

Die zweite Schwachstelle existiert in Microsoft Windows. Es handelt sich um eine lokale Privilegienerweiterung im Kerneltreiber von Windows win32k.sys. Diese kann zum Ausbruch aus Sandboxen verwendet werden. Die Schwachstelle ist eine NULL Pointer Dereferenz in win32k!MNGetpItemFromIndex, wenn der Systemaufruf NtUserMNDragOver() unter bestimmten Umständen aufgerufen wird.

Die Chrome-Entwickler sind fest davon überzeugt, dass diese Schwachstelle nur unter Windows 7 ausgenutzt werden kann, da die jüngsten Schwachstellen in neueren Versionen von Windows behoben wurden. Bisher haben die Sicherheits-Experten von Google nur eine aktive Ausnutzung in Angriffen gegen Windows 7 32-Bit-Systeme beobachtet.

Google hat nun Details veröffentlicht, da Microsoft bisher nicht reagierte. Ich gehe davon aus, dass Microsoft die Schwachstelle am Dienstag, den 12. März 2019 patcht. Bis dahin können Besitzer einer Windows 7 32-Bit-Version entweder auf Chrome verzichten oder den Browser aktualisieren. Die Empfehlung der Google-Entwickler, wegen des Fehlers auf Windows 10 zu migrieren, halte ich persönlich dagegen für einen schlechten Witz.