{"id":206761,"date":"2018-07-18T00:35:00","date_gmt":"2018-07-17T22:35:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=206761"},"modified":"2019-12-11T11:47:15","modified_gmt":"2019-12-11T10:47:15","slug":"mdop-mbam-update-kb4340040-und-die-sicherheitlcken","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/07\/18\/mdop-mbam-update-kb4340040-und-die-sicherheitlcken\/","title":{"rendered":"MDOP\/MBAM-Update KB4340040 und die Sicherheitlücken"},"content":{"rendered":"

[English<\/a>]Vorige Woche wurde das Microsoft Desktop Optimization Pack (MDOP) Juli 2018 Service Release freigegeben. Heute nochmals ein kurzer Blick auf das MDOP\/MBAM-Update KB4340040 in Punkte Sicherheitsl\u00fccken bzw. vermeidbare Schwachstellen.<\/p>\n

<\/p>\n

Microsoft Desktop Optimization Pack (MDOP) Update<\/h2>\n

Das Microsoft Desktop Optimization Pack (MDOP) richtet sich Administratoren im Windows-Umfeld, die \u00fcber einen Software Assurance-Vertrag verf\u00fcgen. Es handelt sich um ein ein Portfolio von Technologien, das als Abonnement f\u00fcr Software Assurance-Kunden erh\u00e4ltlich ist. MDOP soll helfen, die Kompatibilit\u00e4t und das Management zu verbessern, die Support-Kosten zu senken, das Asset-Management zu verbessern und die Richtlinienkontrolle zu verbessern.<\/p>\n

Alles, was man so als Administrator haben will und per Software Assurance-Vertrag auch f\u00fcr zahlt. Am 11. Juli 2018 hat Microsoft das Microsoft Desktop Optimization Pack (MDOP) Juli 2018 Service Release freigegeben. Ich hatte \u00fcber Update KB4340040 im Blog-Beitrag Microsoft Desktop Optimization Pack (MDOP) Juli 2018 Service Release<\/a> berichtet. Dabei war mir aufgefallen, dass Microsoft den Installer sowohl als .exe<\/em>-Datei als auch als .msi<\/em>-Installationsdatei bereitstellt.<\/p>\n

Im Blog-Beitrag hatte ich empfohlen, aus Sicherheitsgr\u00fcnden auf die .msi<\/em>-Installationsdatei zu setzen. Die .exe<\/em>-Installer entpacken die Installationsdateien oft erst in tempor\u00e4re Ordner, um dann die Installation mit Administratorrechten zu starten. Dieser 'R\u00f6sselsprung' stellt aber ein potentielles Sicherheitsrisiko (f\u00fcr DLL-Hijacking) dar und sollte vermieden werden.<\/p>\n

Fette Schwachstellen in MDOP\/MBAM<\/h2>\n

Im Blog-Beitrag Microsoft Desktop Optimization Pack (MDOP) Juli 2018 Service Release<\/a> hatte ich auf einige Feststellungen in Punkto Sicherheit von Stefan Kanthak verwiesen, ohne mir selbst das Update-Paket vorzunehmen. So ganz daneben lag ich aber mit meinem Schuss ins Blaue nicht. Stefan Kanthak scheint wohl das Microsoft Security Research Team (MSRC) kontaktiert zu haben.<\/p>\n

> From: Stefan Kanthak
\n> Received: Sun Jul 15 2018 03:40:19 GMT-0700 (Pacific Daylight Time)
\n> To: <Microsoft Security Response Center>; Microsoft Security Response Center; Microsoft Security Response Center
\n> Cc: \u2026.; CERT; CERT\/CC; cert@cert.org; \u2026.
\n> Subject: KB4340040: multiple vulnerabilities allow escalation of privilege CRM:0461057028
\n>
\n> Hi, you just released \"July 2018 servicing release for Microsoft Desktop Optimization Pack\" The executable installers<\/p>\n

MBAM2.5_Client_x64_KB4340040.exe MBAM2.5_Client_x86_KB4340040.exe MBAM2.5_X64_Server_KB4340040.exe<\/p>\n

you offer for download from are but VULNERABLE!<\/p>\n

1. All three executable installers are vulnerable to DLL hijacking: they load multiple system DLLs from their \"application directory\", typically the user's \"Downloads\" directory %USERPROFILE%\\Downloads\\, instead from Windows' \"systemdirectory\" %SystemRoot%\\System32\\, resulting in arbitrary code execution. On a fully patched Windows 7 SP1,<\/p>\n

MBAM2.5_Client_x64_KB4340040.exe and MBAM2.5_Client_x86_KB4340040.exe<\/p>\n

load AT LEAST the following rogue DLLs: msls31.dll, propsys.dll, ntmarta.dll, version.dll, secur32.dll<\/p>\n

On a fully patched Windows 7 SP1, BAM2.5_X64_Server_KB4340040.exe loads AT LEAST the following rogue DLLs: uxtheme.dll, cabinet.dll, msi.dll, version.dll For this well-known and well-documented BEGINNER'S ERROR<\/p><\/blockquote>\n

Stefan Kanthak weist in seiner Mail das MSRT auf die eigene Microsoft-Dokumentation bzw. Vorgaben hin, die so was \u00e4chtet. K\u00fcrzlich ist mir eine Mail von ihm mit der Antwort den MSRC-Teams zugegangen. Zuerst hat das Sicherheitsteam von Microsoft best\u00e4tigt, dass die Meldung KB4340040: multiple vulnerabilities allow escalation of privilege CRM:0461057028<\/em> intern zur Begutachtung eskaliert worden sein. Dann kam die Best\u00e4tigung der Sicherheitsl\u00fccken:<\/p>\n

Subject: RE: ?MSRC Case 46695? CRM:0461057028
\n> Hi Stefan,
\n>\u00a0 We have completed our investigation and determined the issue does not meet the bar for a security update.
\n> The issue has been flagged for vnext consideration. I do not have a timeline for vnext release.
\n>
\n> Regards,
\n>\u00a0 Antonio
\n>
\n> ——————- Original Message ——————-
\n> From: Microsoft Security Response Center
\n> Received: Mon Jul 16 2018 10:25:05 GMT-0700 (Pacific Daylight Time)
\n> To: Stefan Kanthak
\n> Subject: ?MSRC Case 46695? CRM:0461057028
\n>
\n> Thank you very much for your report.
\n>
\n> I have opened case 46695 and the case manager, Antonio will be in touch when there is more information.
\n>
\n> In the meantime, to protect the ecosystem, we ask that you respect coordinated vulnerability disclosure (see
\nhttps:\/\/technet.microsoft.com\/en-us\/security\/dn467923.aspx<\/a> for details) and not report this publicly before we have notified you that this issue is fixed.
\n\u2026
\n> Regards,
\n> Microsoft Security Response Center<\/p><\/blockquote>\n

Das Team erkennt eine Schwachstelle, die aber nicht so gravierend ist, dass direkt gepatcht werden muss. Man will das bei einem der n\u00e4chsten Updates (wann, wird nicht gesagt), ber\u00fccksichtigen (eigentlich h\u00e4tte man ja nur die .exe-Dateien von den Webservern entfernen m\u00fcssen). Stefan Kanthak schreibt zum Vorgang:<\/p>\n

From: \"Microsoft Security Response Center\" <secure@microsoft.com>
\nTo: \"Microsoft Security Response Center\" <secure@microsoft.com>; \"Stefan Kanthak\"
\nSent: Monday, July 16, 2018 9:37 PM
\nzur Information: wie erwartet bestaetigt das MSRC diese BLUTIGEN ANFAENGERFEHLER im juengsten MDOP\/MBAM-Update KB4340040, schreibt jedoch, dass keine Sicherheits-Korrektur veroeffentlicht wird.<\/p>\n

\"Defense in depth — the Microsoft way\" … oder \"trustworthy computing\" war Vorvorgestern …
\nDummerweise ist \"DLL spoofing\" auch schon seit Vorvorgestern bekannt:
\nsiehe <https:\/\/skanthak.homepage.t-online.de\/ntintrotosec.html<\/a>>
\nDas ist die Kurzfassung des vom gleichen Autor geschriebenen \"NSA Guide\"
\n<http:\/\/fy.chalmers.se\/~appro\/nt\/nsaguide.pdf<\/a>>; siehe dort die Seiten 105\/106<\/p><\/blockquote>\n

Tja, und damit ist sicherheitstechnisch alles im 'gr\u00fcnen Bereich', wie man so sagt. Wird schon keiner ausnutzen \u2013 oder wie sagt der K\u00f6lner: 'Et h\u00e4tt noch immer jod jejange'.<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Vorige Woche wurde das Microsoft Desktop Optimization Pack (MDOP) Juli 2018 Service Release freigegeben. Heute nochmals ein kurzer Blick auf das MDOP\/MBAM-Update KB4340040 in Punkte Sicherheitsl\u00fccken bzw. vermeidbare Schwachstellen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,185],"tags":[7134,4328,4315],"class_list":["post-206761","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-update","tag-kb4340040","tag-sicherheit","tag-update"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/206761","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=206761"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/206761\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=206761"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=206761"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=206761"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}