Windows 10 NTFS-Bug (CVE-2021-28312) gefixt (13.4.2021)

[English]Microsoft hat zum Patchday (13.4.2021) mit den ausgerollten Sicherheitsupdates für Windows 10 auch den Windows-NTFS-Bug, der zur Beschädigung des NTFS-Systemlaufwerks führend konnte, beseitigt. Hier einige Informationen zum Thema.

Eigentlich hatte ich das Ganz aus den Augen verloren, weil ich glaubte, dass das lange gefixt worden sei. Nun ist mir das Thema die letzten Stunden auf Facebook, durch diesen Kommentar (danke dafür) und bei den Kollegen hier unter die Augen gekommen.

Der NTFS-Datenträger-Bug

In der von Windows 10 benutzten Implementierung des NTFS-Dateisystem wurde im Januar 2021 eine bisher ungepatchte Schwachstelle bekannt (siehe meinen Blog-Beitrag Windows 10: Schwachstelle ermöglicht NTFS-Medieninhalte zu zerstören). Die Offenlegung erfolgte von @jonasLyk zum 9. Januar 2021 auf Twitter– siehe nachfolgender Tweet.

Der Zugriff auf einen präparierten Ordner reicht zur Ausnutzung der Schwachstelle. Das Ganze kann remote (z.B. Download einer präparierten Verknüpfungsdatei oder eines ZIP-Archivs) getriggert werden. Über diese Schwachstelle ist es Angreifern möglich, den Inhalt eines unter Windows 10 verwendeten NTFS-Datenträgers als beschädigt zu markieren. Beim Neustart wird dann eine Datenträgerprüfung getriggert, die den Fehler beheben kann – in seltenen Fällen kann das System aber nicht mehr booten.

Der gezeigte Befehl greift auf das $130-Attribut eines NTFS-Datenträgers zu. Über dieses $I30-Attribut  verwaltet das NTFS-Dateisystem einen Index aller Dateien/Unterverzeichnisse, die zu einem Verzeichnis gehören. Der Bug ist ab Windows 10 Version 1803 vorhanden. Microsoft hatte den Bug als CVE-2021-28312 (Windows NTFS Denial of Service Vulnerability) klassifiziert – der Beitrag scheint aber nach der Publizierung vor 6 Tagen aktuell nicht abrufbar zu sein.

Fix avisiert, Fix ausgerollt

Ende Januar 2021 gab es bereits einen inoffiziellen Fix für diesen Bug, den ich im Blog-Beitrag Windows 10 NTFS-Bug erhält inoffiziellen Fix von OSR vorgestellt hatte. Aber als Administrator würde ich mir solche inoffiziellen Fixes nicht unbedingt installieren wollen. Ende Februar 2021 hatte ich dann im Blog-Beitrag Fix für Windows 10-Bug, der Datenfehler bei NTFS-Laufwerken provoziert, kommt angedeutet, dass Microsoft an einem Fix für den Bug arbeitet, der bei NTFS-Laufwerken das Auslösen von Dateisystemfehlern ermöglicht.

Den Kollegen von Bleeping Computer war aufgefallen, dass Microsoft in der Windows 10 Insider Build 21322 einen undokumentierten Fix eingebaut, der den Zugriff auf den Pfad, der den Fehler auslöst, verhindert. Nun schreiben die Kollegen von Bleeping Computer in diesem Beitrag, dass Microsoft den Bug in allen unterstützten Windows 10-Versionen mit den Sicherheitsupdates vom 13. April 2021 beseitigt habe. In der offiziellen Beschreibung der Updates (und im Beitrag Patchday: Windows 10-Updates (13. April 2021)) habe ich aber bei einer schnellen Suche nichts gefunden.