{"id":209610,"date":"2018-09-21T18:53:09","date_gmt":"2018-09-21T16:53:09","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=209610"},"modified":"2018-12-14T19:30:53","modified_gmt":"2018-12-14T18:30:53","slug":"windows-zero-day-schwachstelle-in-jet-engine-sept-2018","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/09\/21\/windows-zero-day-schwachstelle-in-jet-engine-sept-2018\/","title":{"rendered":"Windows Zero-Day-Schwachstelle in Jet Engine (Sept. 2018)"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>In Microsofts Jet Engine, die unter Windows in Anwendungen genutzt wird, gibt es eine Zero Day-Schwachstelle. Die Sicherheitsl\u00fccke ist ungepatcht, allerdings nicht sonderlich kritisch.<\/p>\n<p><!--more--><\/p>\n<p>Vorab: Der normale Windows-Nutzer kommt mit dieser Schwachstelle eher nicht in Ber\u00fchrung. Die <a href=\"https:\/\/en.wikipedia.org\/wiki\/Microsoft_Jet_Database_Engine\" target=\"_blank\" rel=\"noopener\">Jet Engine<\/a> ist eine Datenbankschnittstelle von Microsoft, die in Access, Visual Basic oder auch in anderer Software \u00fcber die Jet Engine-Datenquellentreiber genutzt werden kann.<\/p>\n<h2>Sicherheitsl\u00fccke nach 120 Tagen publiziert<\/h2>\n<p>Die Sicherheitsl\u00fccke wurde von Trend Micro entdeckt und und in <a href=\"https:\/\/www.zerodayinitiative.com\/blog\/2018\/9\/20\/zdi-can-6135-a-remote-code-execution-vulnerability-in-the-microsoft-windows-jet-database-engine\" target=\"_blank\" rel=\"noopener\">diesem Blog-Beitrag<\/a> beschrieben. Gleichzeitig wurde die Schwachstelle am 8. Mai 2018 an Microsoft berichtet. Nachdem die 120 Tage Stillhaltefrist abgelaufen ist, ging die betreffende Information diese Woche in die Ver\u00f6ffentlichung.<\/p>\n<h2>Die Schwachstelle<\/h2>\n<p>Beim Schreiben in eine Datenbank per Microsoft JET-Datenbank-Engine ist eine Out-of-Bounds (OOB)-Operation m\u00f6glich. Dies k\u00f6nnte zur Ausf\u00fchrung von Remote-Code ausgenutzt werden. Allerdings wird dieser Code nur im Kontext des aktuellen Prozesses ausgef\u00fchrt werden. Dazu muss der Benutzer jedoch dazu gebracht werden, eine b\u00f6sartige Datei \u00f6ffnen. Und die Jet-Engine l\u00e4uft nur im 32-Bit-Mode. Die Ausnutzbarkeit ist also sehr begrenzt, der Grund, warum Microsoft sich Zeit mit einem Patch l\u00e4sst.<\/p>\n<p>Konkret scheint die Schwachstelle im Index-Manager der Jet-Engine zu sein. Auf <a href=\"https:\/\/github.com\/thezdi\/PoC\/tree\/master\/ZDI-18-1075\" target=\"_blank\" rel=\"noopener\">GitHub<\/a> gibt es ein Proof of Concept (PoC) in Form einer Beispieldatenbank und eines JavaScript-Programms, welches den OLEDB-Provider 4.0 f\u00fcr die Schreibzugriffe nutzt. Mitja Kolsek von 0patch hat auf Twitter etwas dazu gepostet.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">A bit about this unpatched remote code execution i Windows Jet Database Engine:<\/p>\n<p>1) First of all, a nice find, <a href=\"https:\/\/twitter.com\/thezdi?ref_src=twsrc%5Etfw\">@thezdi<\/a> and <a href=\"https:\/\/twitter.com\/_wmliang_?ref_src=twsrc%5Etfw\">@_wmliang_<\/a>! (Btw, Lucas' Twitter handle in the article &#8211; <a href=\"https:\/\/twitter.com\/wmliang?ref_src=twsrc%5Etfw\">@wmliang<\/a> &#8211; is wrong!)<\/p>\n<p>2) Jet only exists in 32bits, so launching poc.js won't work on 64bit Windows <a href=\"https:\/\/t.co\/57okiFs7S7\">https:\/\/t.co\/57okiFs7S7<\/a><\/p>\n<p>\u2014 Mitja Kolsek (@mkolsek) <a href=\"https:\/\/twitter.com\/mkolsek\/status\/1042820055686365184?ref_src=twsrc%5Etfw\">20. September 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Laut Blog-Beitrag wurde die Existenz der Schwachstelle in Windows 7 best\u00e4tigt. Die Sicherheitsforscher glauben aber, dass alle noch unterst\u00fctzten Windows-Versionen anf\u00e4llig sind. Microsoft arbeitet intern an einem Patch, wann dieser erscheint, ist bisher aber unbekannt. <a href=\"https:\/\/www.theregister.co.uk\/2018\/09\/20\/microsoft_jet_database_zero_day\/\" target=\"_blank\" rel=\"noopener\">The Register<\/a> und <a href=\"https:\/\/www.heise.de\/security\/meldung\/Windows-Zero-Day-Luecke-in-Microsoft-Jet-Engine-4169774.html\" target=\"_blank\" rel=\"noopener\">heise.de<\/a> haben inzwischen dar\u00fcber berichtet.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>In Microsofts Jet Engine, die unter Windows in Anwendungen genutzt wird, gibt es eine Zero Day-Schwachstelle. Die Sicherheitsl\u00fccke ist ungepatcht, allerdings nicht sonderlich kritisch.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,301],"tags":[4328,3288],"class_list":["post-209610","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows","tag-sicherheit","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/209610","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=209610"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/209610\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=209610"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=209610"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=209610"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}