{"id":196567,"date":"2017-11-20T14:07:04","date_gmt":"2017-11-20T13:07:04","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=196567"},"modified":"2022-04-05T05:37:35","modified_gmt":"2022-04-05T03:37:35","slug":"fix-windows8-8-1-windows10-patzen-bei-aslr","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/11\/20\/fix-windows8-8-1-windows10-patzen-bei-aslr\/","title":{"rendered":"Fix: Windows 8\/8.1\/10 patzen bei ASLR"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2013\/03\/winb.jpg\" width=\"58\" height=\"58\" align=\"left\" \/>Auweia, n\u00e4chster Ausrutscher von Microsoft beim Thema Sicherheit. Den Entwicklern ist ein Fehler unterlaufen, der dazu f\u00fchrt, dass der ASLR-Mechanismus in Windows 8, Windows 8.1 und Windows 10 nicht immer richtig funktioniert. Es gibt aber einen Fix.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/f7b8a14dcd4a48e297358c078912a854\" alt=\"\" width=\"1\" height=\"1\" \/><a href=\"https:\/\/de.wikipedia.org\/wiki\/Address_Space_Layout_Randomization\" target=\"_blank\" rel=\"noopener\">Address Space Layout Randomization (ASLR)<\/a> ist eine Sicherheitstechnologie f\u00fcr Computer, die es Angreifern durch 'Speicherverw\u00fcrfelung' beim Laden des Codes schwerer machen soll, einen Puffer\u00fcberlauf auszunutzen. Diese Technik ist eigentlich in allen modernen Betriebssystemen irgendwie enthalten. Bei Windows Vista hat Microsoft ASLR erstmals im gesamten System implementiert.<\/p>\n<h2>Windows 10: ASLR im Defender enthalten<\/h2>\n<p>Um das Feature zu aktivieren, mussten Benutzer Microsoft EMET unter Windows Vista oder Windows 7 installieren, um ASLR in systemweiten und\/oder anwendungsspezifischen Zust\u00e4nden zu aktivieren. EMET wird aber 2018 eingestellt und Microsoft hat dessen Funktionen in Windows 10 integriert.<\/p>\n<p><img decoding=\"async\" title=\"Defender Exploit-Schutz\" src=\"https:\/\/i.imgur.com\/BweVr2Z.jpg\" alt=\"Defender Exploit-Schutz\" \/><\/p>\n<p>Ruft man das Windows Defender Security Center (z.B. \u00fcber die <em>Einstellungen<\/em>-App) auf, kann man unter <em>App- &amp; Browsersteuerung<\/em> auf die Einstellungen f\u00fcr den Exploit-Schutz zugreifen.<\/p>\n<p><img decoding=\"async\" title=\"Defender ASLR-Einstellungen\" src=\"https:\/\/i.imgur.com\/chJ7GDG.jpg\" alt=\"Defender ASLR-Einstellungen\" \/><\/p>\n<p>Zumindest auf meinem Testsystem sind nicht alle ASLR-Einstellungen standardm\u00e4\u00dfig aktiviert.<\/p>\n<h2>Merkw\u00fcrdigkeit beim Office-Formeleditor<\/h2>\n<p>Erst vor einigen Stunden habe ich im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2017\/11\/20\/hat-microsoft-zugriff-auf-teile-des-office-quellcodes-verloren\/\">Hat Microsoft Zugriff auf Teile des Office-Quellcodes verloren?<\/a> \u00fcber den Patch beim Office-Formeleditor berichtet. Im Formeleditor EQNEDT32.EXE, der nach wie vor in allen Microsoft Office-Paketen enthalten ist, gab es eine Sicherheitsl\u00fccke CVE-2017-11882, die beim November 2017-Patchday geschlossen wurde.<\/p>\n<p>Bei der Untersuchung dieser Sicherheitsl\u00fccke entdeckte der CERT\/CC Schwachstellenanalytiker Will Dormann, dass ASLR die Speichercodepositionen von Anwendungs-Bin\u00e4rdateien unter bestimmten Bedingungen nicht zuf\u00e4llig randomisierte. W\u00e4hrend bei Windows 7 und EMET die Speicheradressen geladener Module durch ASLR bei neuem Windows-Neustart zuf\u00e4llig waren, traf dies in Windows 10 nicht mehr zu. In einem <a href=\"https:\/\/twitter.com\/wdormann\/status\/930916460473577474\" target=\"_blank\" rel=\"noopener\">Tweet<\/a> publizierte Dormann seine Erkenntnisse.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">Actually, with Windows 7 and EMET System-wide ASLR, the loaded address for eqnedt32.exe is different on every reboot. But with Windows 10 with either EMET or WDEG, the base for eqnedt32.exe is 0x10000 EVERY TIME.<br \/>\nConclusion: Win10 cannot be enforce ASLR as well as Win7! <a href=\"https:\/\/t.co\/Jp10nqk1NQ\">pic.twitter.com\/Jp10nqk1NQ<\/a><\/p>\n<p>\u2014 Will Dormann (@wdormann) <a href=\"https:\/\/twitter.com\/wdormann\/status\/930916460473577474?ref_src=twsrc%5Etfw\">15. November 2017<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Bei jedem Neustart wurde der fehlerhafte Formeleditor EQNEDT32.EXE an die gleiche Speicheradresse geladen. Laut <a href=\"http:\/\/www.kb.cert.org\/vuls\/id\/817544\" target=\"_blank\" rel=\"noopener\">diesem CERT-Alert<\/a> verhindert ein Bug in Form eines fehlerhaften Registrierungseintrags ab Windows 8 (und damit in Windows 8.1 und Windows 10) die saubere Nutzung von ASLR.<\/p>\n<h2>Fix: Die Registrierungswerte nachtragen<\/h2>\n<p>Es gibt gl\u00fccklicherweise einen Fix der ASLR unter den betreffenden Windows-Versionen wieder funktionsf\u00e4hig macht. Hierzu ist eine .reg-Datei mit folgendem Inhalt zu erstellen:<\/p>\n<pre><code>Windows Registry Editor Version 5.00\r\n\r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Session Manager\\kernel]\r\n\"MitigationOptions\"=hex:00,01,01,00,00,00,00,00,00,00,00,00,00,00,00,00<\/code><\/pre>\n<p>Dann l\u00e4sst sich die .reg-Datei unter einem Administratorkonto per Doppelklick importieren. Alternativ kann <em>regedit.exe <\/em>mit administrativen Berechtigungen aufgerufen werden. Dann kann der Import der Registierungsdaten \u00fcber das <em>Datei<\/em>-Men\u00fc erfolgen. (via\u00a0 <a href=\"https:\/\/web.archive.org\/web\/20201109003741\/https:\/\/www.bleepingcomputer.com\/news\/security\/windows-8-and-later-fail-to-properly-apply-aslr-heres-how-to-fix\/\" target=\"_blank\" rel=\"noopener\">Bleeping Computer<\/a>)<\/p>\n<p>Nachtrag: Microsoft hat zum Thema Stellung bezogen &#8211; siehe\u00a0<a href=\"https:\/\/borncity.com\/blog\/2017\/11\/23\/windows-8-8-1-10-aslr-patzer-ist-ein-feature-sagt-microsoft\/\">Windows 8\/8.1\/10 ASLR-Patzer ist ein Feature, sagt Microsoft<\/a><\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2017\/11\/20\/hat-microsoft-zugriff-auf-teile-des-office-quellcodes-verloren\/\">Hat Microsoft Zugriff auf Teile des Office-Quellcodes verloren?<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2017\/11\/09\/defender-application-control-blockt-programmedownloads\/\">Defender Application Control blockt Programme\/Downloads<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2017\/10\/25\/windows-10-v1709-klippen-beim-defender\/\">Windows 10 V1709: Klippen beim Defender?<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2017\/09\/29\/illusion-gap-windows-defender-ausgehebelt\/\">Illusion GAP: Windows Defender ausgehebelt<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2017\/07\/20\/windows-defender-cloud-echtzeitschutz\/\">Windows Defender Cloud-Echtzeitschutz<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2017\/07\/14\/windows-defender-offline-scannt-nicht\/\">Windows Defender Offline scannt nicht<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Auweia, n\u00e4chster Ausrutscher von Microsoft beim Thema Sicherheit. Den Entwicklern ist ein Fehler unterlaufen, der dazu f\u00fchrt, dass der ASLR-Mechanismus in Windows 8, Windows 8.1 und Windows 10 nicht immer richtig funktioniert. Es gibt aber einen Fix.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,3694],"tags":[2699,4328,4378],"class_list":["post-196567","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows-10","tag-defender","tag-sicherheit","tag-windows-10"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/196567","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=196567"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/196567\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=196567"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=196567"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=196567"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}