{"id":231681,"date":"2020-05-14T09:35:01","date_gmt":"2020-05-14T07:35:01","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=231681"},"modified":"2022-01-18T10:41:27","modified_gmt":"2022-01-18T09:41:27","slug":"windows-print-spooler-exploit-fr-cve-2020-1048","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/05\/14\/windows-print-spooler-exploit-fr-cve-2020-1048\/","title":{"rendered":"Windows Print-Spooler: Exploit f&uuml;r CVE-2020-1048"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2013\/03\/winb.jpg\" width=\"58\" height=\"58\" \/>[<a href=\"https:\/\/borncity.com\/win\/2020\/05\/14\/windows-print-spooler-exploit-fr-cve-2020-1048\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]Im Print-Spooler von Windows gibt es die Schwachstelle CVE-2020-1048, mit der sich Schadsoftware erh\u00f6hte Privilegien verschaffen k\u00f6nnte.\u00a0 Patchen ist nun angesagt, da ein Exploit \u00f6ffentlich ist, der mit nur einem PowerShell-Befehl eine Backdoor in Windows implementieren kann. Hier eine grobe \u00dcbersicht samt Einsch\u00e4tzung, wie kritisch das Ganze ist, denn es sind einige Voraussetzungen zur Ausnutzung des Exploits erforderlich.<\/p>\n<p><!--more--><\/p>\n<h2>Windows Print-Spooler Schwachstelle CVE-2020-1048<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg04.met.vgwort.de\/na\/6e5593b9b2f14717b5f04a828083913b\" alt=\"\" width=\"1\" height=\"1\" \/>Bei der Schwachstelle <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/en-US\/vulnerability\/CVE-2020-1048\" target=\"_blank\" rel=\"noopener noreferrer\">CVE-2020-1048<\/a> handelt es sich um eine Privilege Escalation-L\u00fccke im Windows-Druckspooler-Dienst, die ein willk\u00fcrliches Schreiben in das Dateisystem zul\u00e4sst. Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, k\u00f6nnte beliebigen Code mit erh\u00f6hten Systemprivilegien ausf\u00fchren. Ein Angreifer k\u00f6nnte dann Programme installieren, Daten anzeigen, \u00e4ndern oder l\u00f6schen oder neue Konten mit vollen Benutzerrechten erstellen.<\/p>\n<p>Um diese Schwachstelle auszunutzen, m\u00fcsste sich ein Angreifer sich allerdings bei einem betroffenen System anmelden und ein speziell erstelltes Skript oder eine Anwendung ausf\u00fchren. Die Ausnutzung dieser Schwachstelle wird von Microsoft zwar als wenig wahrscheinlich angesehen. Das Unternehmen hat aber zum Patchday 12. Mai 2020 Sicherheitsupdates f\u00fcr Windows 7 bis Windows 10 sowie die Server Pendants herausgebracht, die die Schwachstelle beseitigen sollen. Die Liste der Updates l\u00e4sst sich <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/en-US\/vulnerability\/CVE-2020-1048\" target=\"_blank\" rel=\"noopener noreferrer\">dieser Seite<\/a> entnehmen. Zudem sind die Windows-Sicherheitsupdates zum Mai 2020-Patchday in meinen Artikeln am Ende dieses Beitrags aufgef\u00fchrt.<\/p>\n<h2>Exploit f\u00fcr CVE-2020-1048<\/h2>\n<p>Ich bin bereits gestern auf Twitter \u00fcber nachfolgenden Tweet von Alex Ionescu auf das Thema gesto\u00dfen.<\/p>\n<blockquote class=\"twitter-tweet\">\n<p dir=\"ltr\" lang=\"en\">Attackers can exploit CVE-2020-1048 with a single PowerShell command:<\/p>\n<p>Add-PrinterPort -Name c:\\windows\\system32\\ualapi.dll<\/p>\n<p>On an unpatched system, this will install a persistent backdoor, that won't go away *even after you patch*.<\/p>\n<p>See <a href=\"https:\/\/t.co\/9yMSWNM8VG\">https:\/\/t.co\/9yMSWNM8VG<\/a> for more details.<\/p>\n<p>\u2014 Alex Ionescu (@aionescu) <a href=\"https:\/\/twitter.com\/aionescu\/status\/1260466215299973121?ref_src=twsrc%5Etfw\">May 13, 2020<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Es reicht ein PowerShell-Befehl, um eine DLL als PrinterPort zu registrieren. Eine manipulierte <em>ualapi.dll <\/em>w\u00fcrde dann mit Systemprivilegien laufen und k\u00f6nnen beliebige Dateien manipulieren. Eine so eingerichtete 'Backdoor' w\u00fcrde auch nicht mehr durch nachtr\u00e4gliches patchen beseitigt \u2013 das ist ein hilfreicher Hinweis. Auf <a href=\"https:\/\/windows-internals.com\/printdemon-cve-2020-1048\/\" target=\"_blank\" rel=\"noopener noreferrer\">windows-internals.com<\/a> hat Alex Ionescu die Details beschrieben. Die Nacht hat Woody Leonhard das Ganze <a href=\"https:\/\/www.askwoody.com\/2020\/on-the-radar-an-exploit-for-cve-2020-1048-windows-print-spooler-elevation-of-privilege\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a> ebenfalls aufgegriffen. Aber so ganz kommentarlos m\u00f6chte ich das Thema nicht lassen.<\/p>\n<h2>Ein paar Anmerkungen dazu<\/h2>\n<p>Da Sicherheitsupdates verf\u00fcgbar sind, kann diese Schwachstelle von Nutzern leicht geschlossen werden. Aber es gibt noch mehr anzumerken. Ionescu schreibt, dass die Schwachstelle auch in uralten Windows-Versionen vorhanden sei. Faktisch sind aber nur noch Windows 7-Systeme, die im Januar 2020 aus dem erweiterten Support gefallen sind, im Einsatz und werden von Microsoft \u00fcber das ESU-Programm gepatcht.<\/p>\n<p>Standardm\u00e4\u00dfig ist die Ausf\u00fchrung von PowerShell-Befehlen unter Windows deaktiviert (siehe mein Artikel <a href=\"https:\/\/borncity.com\/blog\/2010\/02\/24\/powershell-skripte-lassen-sich-nicht-ausfhren\/\">PowerShell-Skripte lassen sich nicht ausf\u00fchren<\/a>). Um den obigen PowerShell-Befehl auszuf\u00fchren, m\u00fcsste dies also vom Administrator zugelassen worden sein \u2013 f\u00fcr Normalnutzer, die nie die PowerShell genutzt haben, h\u00e4lt sich die Gefahr in Grenzen.<\/p>\n<blockquote class=\"twitter-tweet\">\n<p dir=\"ltr\" lang=\"en\">I was wondering the same. These seem to have been added with Windows 8. I suppose the attacker would have to use their own tool for creating the port on Windows 7.<\/p>\n<p>\u2014 Mitja Kolsek (@mkolsek) <a href=\"https:\/\/twitter.com\/mkolsek\/status\/1260529126009704448?ref_src=twsrc%5Etfw\">May 13, 2020<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Der Diskussion zwischen VessOnSecurity und Mitja Kolsek (0patch) entnehme ich, dass die obigen PowerShell-Verben erst in Windows 8 eingef\u00fchrt wurden. Verhindert nat\u00fcrlich nicht, dass Angreifer ihre eigenen Methoden zur Ausnutzung einsetzen. In allen F\u00e4llen muss ein Angreifer meinem Verst\u00e4ndnis nach aber bereits ein Administrator auf dem System sein, um Print-Spooler DLLs registrieren zu k\u00f6nnen. Die DLL erh\u00e4lt dann aber die Berechtigungen von SYSTEM.<\/p>\n<blockquote><p><strong>Erg\u00e4nzung:<\/strong> Mitja Kolsek hat mir eben eine private Nachricht geschickt. Bei ACROS Security hat man den PoC-Exploit getestet. Der funktioniert, laut Kolsek, auch unter Windows 7 und ben\u00f6tigt keine Admin-Berechtigungen. Ich denke, es d\u00fcrfte bald eine Micro-Fix von 0patch geben.<\/p><\/blockquote>\n<p>Abschlie\u00dfend: Es ist gut, dass das Thema von Alex Ionescu detaillierter beleuchtet wurde. Aber die Ausnutzung erfordert eine m. E. Administratorberechtigungen. Zudem gibt es einen Patch f\u00fcr die aktuell von Microsoft noch unterst\u00fctzten Betriebssysteme. Jeder Administrator kann (und sollte wegen der oben erw\u00e4hnten Gr\u00fcnde) die Schwachstelle also per Update schlie\u00dfen und gut ist. Oder habe ich was \u00fcbersehen?<\/p>\n<p><strong>\u00c4hnliche Artikel:<br \/>\n<\/strong><a href=\"https:\/\/borncity.com\/blog\/2020\/05\/06\/microsoft-office-patchday-5-mai-2020\/\">Microsoft Office Patchday (5. Mai 2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/05\/13\/microsoft-security-update-summary-12-mai-2020\/\">Microsoft Security Update Summary (12. Mai 2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/05\/13\/patchday-windows-10-updates-12-mai-2020\/\">Patchday: Windows 10-Updates (12. Mai 2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/05\/13\/patchday-updates-fr-windows-7-8-1-server-12-mai-2020\/\">Patchday: Updates f\u00fcr Windows 7\/8.1\/Server (12. Mai 2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/?p=231677\">Patchday Microsoft Office Updates (12. Mai 2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2016\/03\/29\/powershell-als-einfallstor-fr-malwareransomware\/\">PowerShell als Einfallstor f\u00fcr Malware\/Ransomware<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Im Print-Spooler von Windows gibt es die Schwachstelle CVE-2020-1048, mit der sich Schadsoftware erh\u00f6hte Privilegien verschaffen k\u00f6nnte.\u00a0 Patchen ist nun angesagt, da ein Exploit \u00f6ffentlich ist, der mit nur einem PowerShell-Befehl eine Backdoor in Windows implementieren kann. Hier eine grobe &hellip; <a href=\"https:\/\/borncity.com\/blog\/2020\/05\/14\/windows-print-spooler-exploit-fr-cve-2020-1048\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,301],"tags":[8061,4328,4315,3288],"class_list":["post-231681","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows","tag-cve-2020-1048","tag-sicherheit","tag-update","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/231681","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=231681"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/231681\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=231681"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=231681"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=231681"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}