{"id":213381,"date":"2019-01-02T08:37:59","date_gmt":"2019-01-02T07:37:59","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=213381"},"modified":"2024-10-04T11:24:53","modified_gmt":"2024-10-04T09:24:53","slug":"windows-10-0-day-bug-ermglicht-dateien-zu-berschreiben","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/01\/02\/windows-10-0-day-bug-ermglicht-dateien-zu-berschreiben\/","title":{"rendered":"Windows 10: 0-Day Bug erm&ouml;glicht Dateien zu &uuml;berschreiben"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/win102.jpg\" width=\"58\" height=\"58\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2019\/01\/03\/windows-10-0-day-bug-enabled-file-overwrite\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]Ende des Jahres wurde ein neuer 0-Day Bug in Windows bekannt, der es Angreifern erm\u00f6glicht, Dateien zu \u00fcberschreiben. Hier einige Informationen zu diesem neuen Bug.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg06.met.vgwort.de\/na\/565563cd16a849b1a2cf65230450e5f9\" alt=\"\" width=\"1\" height=\"1\" \/>Der 0-Day Bug in Windows wurde im Dezember 2018 durch einen Hacker mit dem Alias SandboxEscaper entdeckt, wie Bleeping Computer <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/windows-zero-day-bug-allows-overwriting-files-with-arbitrary-data\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier berichtet<\/a>. Der Hacker hatte in der Vergangenheit bereits drei weitere 0-Day Bugs in Windows ver\u00f6ffentlicht.<\/p>\n<h2>Bug im Error Reporting System<\/h2>\n<p>Der 0-Day Bug befindet sich im Windows Error Reporting-System und erm\u00f6glicht in Windows 10 Dateien, f\u00fcr die ein Benutzer normalerweise keine Berechtigungen hat, zu \u00fcberschreiben.<\/p>\n<p><a href=\"https:\/\/i.imgur.com\/yDsDp9q.jpg\" target=\"_blank\" rel=\"noopener noreferrer\"><img loading=\"lazy\" decoding=\"async\" title=\"0-Day Bug in Windows\" src=\"https:\/\/i.imgur.com\/yDsDp9q.jpg\" alt=\"0-Day Bug in Windows\" width=\"645\" height=\"283\" \/><\/a><br \/>\n(<a href=\"https:\/\/i.imgur.com\/yDsDp9q.jpg\" target=\"_blank\" rel=\"noopener noreferrer\">Zum Vergr\u00f6\u00dfern klicken<\/a>)<\/p>\n<p>Dieses nutzt die Tatsache, dass das Windows Error Reporting-Tool in der Aufgabenplanung ausgef\u00fchrt werden kann (siehe obige Screenshot). Ein Proof of Concept (PoC) wurde von SandboxEscaper auf GitHub ver\u00f6ffentlicht. Dieser PoC-Code \u00fcberschreibt die Datei 'pci.sys' mit Informationen \u00fcber Soft- und Hardwareprobleme, die \u00fcber Windows Error Reporting (WER) gesammelt wurden.<\/p>\n<blockquote><p>Pci.sys' ist eine Systemkomponente, die f\u00fcr das korrekte Booten des Betriebssystems erforderlich ist, da sie physische Ger\u00e4teobjekte auflistet.<\/p><\/blockquote>\n<p>Laut SandboxEscaper k\u00f6nnten auch anderen Dateien \u00fcber diesen Ansatz \u00fcberschrieben werden. Der Hacker spekuliert: \"Sie k\u00f6nnen den PoC auch verwenden, um m\u00f6glicherweise AV-Software von Drittanbietern zu deaktivieren\".<\/p>\n<h2>Der Hack ist recht unzuverl\u00e4ssig<\/h2>\n<p>Der 0-Day-Bug ist aktuell wohl eher unkritisch, eine Ausnutzung in the wild erscheint unwahrscheinlich. Der Hacker schreibt dazu, dass der vom PoC genutzte Effekt nicht garantiert sei und der Exploit mit einigen Einschr\u00e4nkungen versehen ist. Er konnte auf einigen Systemen mit bestimmten CPUs nicht beobachtet werden. Zum Beispiel l\u00e4sst sich der Fehler nicht auf einer Maschine mit einem CPU-Kern reproduzieren. Es kann auch einige Zeit dauern, bis \u00fcberhaupt ein Effekt auftritt. Der PoC ist n\u00e4mlich von einer Race Condition abh\u00e4ngig, bei der ein Prozess schneller als ein andere Zugriff auf Ressourcen erh\u00e4lt.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">This latest 0day from SandboxEscaper requires a lot of patience to reproduce. And beyond that, it only *sometimes* overwrites the target file with data influenced by the attacker. Usually it's unrelated WER data.<a href=\"https:\/\/t.co\/FnqMRpLy77\">https:\/\/t.co\/FnqMRpLy77<\/a> <a href=\"https:\/\/t.co\/jAk5hbr46a\">pic.twitter.com\/jAk5hbr46a<\/a><\/p>\n<p>\u2014 Will Dormann (@wdormann) <a href=\"https:\/\/twitter.com\/wdormann\/status\/1079056635434291200?ref_src=twsrc%5Etfw\">29. Dezember 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Dies wird von Will Dormann, einem Schwachstellenanalytiker bei CERT\/CC., best\u00e4tigt. Dormann konnte den Fehler bei Windows 10 Home, Build 17134 reproduzieren. Allerdings schreibt Dormann, dass das \u00dcberschreiben nicht konsistent erfolgt.<\/p>\n<h2>Microsoft an Weihnachten informiert<\/h2>\n<p>Der Hacker schickte Microsoft vor Weihnachten eine E-Mail und k\u00fcndigte am 25. Dezember 2018 an, dass er das PoC f\u00fcr einen neuen Bug in Windows am Neujahrstag ver\u00f6ffentlichen w\u00fcrde (siehe folgendes Bild).<\/p>\n<p><img decoding=\"async\" title=\"Tweet zu 0-Day-Bug\" src=\"https:\/\/i.imgur.com\/9CrDUzN.jpg\" alt=\"Tweet zu 0-Day-Bug\" \/><\/p>\n<p>Er \u00e4nderte aber zwei Tage sp\u00e4ter seine Meinung und ver\u00f6ffentlichte die Details bereits Ende Dezember 2018. Generell scheint SandBoxEscaper eine ziemlich frustrierte Pers\u00f6nlichkeit zu sein (siehe auch <a href=\"https:\/\/www.reddit.com\/r\/netsec\/comments\/ab4yh6\/another_0day_for_windows_published_by\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesen reddit-Thread<\/a>), da jeder seiner ver\u00f6ffentlichten PoCs irgendwie ziemlich holprig und unerwartet ver\u00f6ffentlicht wurde. Zudem deaktiviert der Hacker die Accounts immer wieder (oder bekommt diese deaktiviert). Die PoCs sind auch meist nicht so gestrickt, dass sie eine einfache Ausnutzung erm\u00f6glichen.<\/p>\n<p>Ende August ver\u00f6ffentlichte er z.B. einen Exploit, der die Berechtigungen f\u00fcr SYSTEM unter Windows \u00fcber eine Schwachstelle in der Task Scheduler-Komponente erh\u00f6ht. Das wurde inzwischen durch Microsoft gepatcht. Ende Oktober 2018 berichtete er einen weiteren Privilege Escalation Bug in Windows, der das L\u00f6schen einer Datei ohne administrative Berechtigungen erm\u00f6glichte. Am 19. Dezember ver\u00f6ffentlichte er einen PoC-Code, der das Lesen gesch\u00fctzter Dateien erm\u00f6glichte. Bleeping Computer berichtet <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/windows-zero-day-bug-allows-overwriting-files-with-arbitrary-data\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a> etwas ausf\u00fchrlicher.<\/p>\n<p><strong>\u00c4hnliche Artikel<\/strong><br \/>\n<a href=\"https:\/\/web.archive.org\/web\/20240715044411\/https:\/\/borncity.com\/blog\/2018\/12\/20\/neue-windows-0-day-schwachstelle-20-12-2018\/\">Neue Windows 0-day-Schwachstelle (20.12.2018)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/10\/24\/windows-10-zero-day-exploit-in-microsoft-data-sharing\/\">Windows 10 Zero-Day-Exploit in Microsoft Data Sharing<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/09\/24\/windows-alpc-schwachstelle-cve-2018-8440-in-exploit-kit\/\">Windows ALPC-Schwachstelle (CVE-2018-8440) in Exploit-Kit<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/09\/06\/windows-alpc-0-day-lcke-wird-durch-malware-ausgenutzt\/\">Windows ALPC 0-day-L\u00fccke wird durch Malware ausgenutzt<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/08\/28\/neue-windows-alpc-zero-day-schwachstelle-entdeckt\/\">Neue Windows ALPC Zero-Day-Schwachstelle entdeckt<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Ende des Jahres wurde ein neuer 0-Day Bug in Windows bekannt, der es Angreifern erm\u00f6glicht, Dateien zu \u00fcberschreiben. Hier einige Informationen zu diesem neuen Bug.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3694],"tags":[4328,4378],"class_list":["post-213381","post","type-post","status-publish","format-standard","hentry","category-windows-10","tag-sicherheit","tag-windows-10"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/213381","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=213381"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/213381\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=213381"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=213381"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=213381"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}