{"id":219696,"date":"2019-06-24T13:23:55","date_gmt":"2019-06-24T11:23:55","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=219696"},"modified":"2023-11-18T21:58:47","modified_gmt":"2023-11-18T20:58:47","slug":"schwere-sicherheitslcke-in-dells-pc-doctor-assistant","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/06\/24\/schwere-sicherheitslcke-in-dells-pc-doctor-assistant\/","title":{"rendered":"Schwere Sicherheitslücke in Dells PC-Doctor-Assistant"},"content":{"rendered":"

[En<\/a>]Der auf vielen Dell-Systemen vorinstallierte PC-Doctor SupportAssist weist eine schwere Sicherheitsl\u00fccke auf, die eine Rechteauswertung erlaubt. Die Komponente steckt auch in Produkten von Corsair, Staples und Tobi. Dell hat ein Update freigegeben.<\/p>\n

<\/p>\n

\"\"Ich wurde bereits von einigen Tagen durch Blog-Leser Leon aus Griechenland auf das Thema hingewiesen. Leon hatte mir den Link zu dieser Webseite<\/a> mitgeschickt. Zum Wochenende haben sich weitere Blog-Leser mit \u00e4hnlichen Hinweisen gemeldet. Vielen Dank f\u00fcr die Informationen. Leider bin ich bisher nicht dazu gekommen, das Thema aufzubereiten.<\/p>\n

Hintergrund: PC-Doctor Toolbox for Windows<\/h2>\n

Der PC-Doctor SupportAssist ist eine umgebrandete Komponente der PC-Doctor Toolbox for Windows. Diese Software ist auf dieser Webseite herunterladbar, und enth\u00e4lt diverse Funktionen zur \u00dcberwachung eines PCs. Liest man sich die Funktionsbeschreibung durch, ist das Ganze 'das Ei des Columbus'. Ich selbst w\u00fcrde es aber als 'Schlangen\u00f6l' bezeichnen, welches als Universal-L\u00f6sung angepriesen, aber nicht wirklich gebraucht wird.<\/p>\n

Aber diverse OEMs wie z.B. Dell liefern diese Toolbox oder Komponenten davon \u2013 teilweise unter etwas abgewandeltem Namen \u2013 auf ihren Systemen mit aus. Die Komponenten, die Dells SupportAssist den Zugriff auf sensible Low-Level-Hardware (wie physischer Speicher, PCI und SMBios) erm\u00f6glichen, stammen aus der PC-Doctor Toolbox und wurden von der Firma PC-Doctor geschrieben. Auch Produkte von Corsair, Staples und Tobi beinhalten diese PC-Doctor Toolbox for Windows oder zumindest Komponenten davon.<\/p>\n

Dell SupportAssist<\/h2>\n

Dell SupportAssist ist eine Software, die aus der oben erw\u00e4hnten PC-Doctor Toolbox stammt und auf den meisten Dell-PCs vorinstalliert ist. Die Software \u00fcberpr\u00fcft proaktiv den Zustand der Hard- und Software des Systems. Diese 'Gesundheitschecks' bestimmter Systemkomponenten erfordert Berechtigungen auf einer hohen Berechtigungsstufe \u2013 sprich: Es sind Administratorrechte erforderlich. Um mit Aktionen auszuf\u00fchren, die hohe Berechtigungen erfordern, wird zus\u00e4tzlich zu mehreren Diensten, die als SYSTEM ausgef\u00fchrt werden, ein signierter Treiber installiert. So viel als Vorbemerkungen zum Thema.<\/p>\n

SafeBreach findet gravierende Schwachstelle<\/h2>\n

Solche Konstruktionen wecken nat\u00fcrlich das Interesse diverser Sicherheitsforscher, darunter auch Peleg Hadar, von den SafeBreach Labs. Im ersten Ansatz hat er sich auf die betreffenden Dienste konzentriert, wie er auf dieser Webseite schreibt. Speziell der Dienst \"Dell Hardware Support\" ist kritisch, da er einen Zugriff auf die PC-Hardware mit hoher Berechtigungsstufe erm\u00f6glicht und \u00fcber die M\u00f6glichkeit verf\u00fcgt, eine Privilegien-Eskalation einzuleiten.<\/p>\n

\"DSAPI.exe<\/p>\n

Nachdem der Dell Hardware-Supportdienst gestartet wurde, f\u00fchrt er das Programm DSAPI.exe <\/em>aus, das wiederum pcdrwi.exe <\/em>startet. Beide Prozesse laufen dann mit der Berechtigungsstufe SYSTEM. Als n\u00e4chstes f\u00fchrt der Dienst zahlreiche PC-Doctor-Programme aus, die Informationen \u00fcber das Betriebssystem und die Hardware des Computers sammeln. Diese ausf\u00fchrbaren Dateien sind eigentlich normale PE-Dateien, haben aber eine andere Erweiterung – \"p5x\".<\/p>\n

Alle diese ausf\u00fchrbaren Dateien laden DLL-Bibliotheken, die die M\u00f6glichkeit haben, Informationen aus verschiedenen Quellen (Software und Hardware) zu sammeln. Nachdem die Bibliotheken geladen waren, haben die Sicherheitsforscher per ProcMon <\/em>folgendes festgestellt:<\/p>\n

\"Aufgerufene<\/a>
\n(Zum Vergr\u00f6\u00dfern klicken<\/a>)<\/p>\n

Drei der p5x-Executables versuchen die folgenden DLL-Dateien im Zweig c:\\python27 <\/em>(steckt in der PATH-Umgebungsvariablen) aufzurufen:<\/p>\n