Windows 10: Einstellungs-Verknüpfung reißt Security-Leck ins System

Microsoft hat mit seinem Streben, es den Nutzern möglichst bequem zu machen, einmal mehr eine Sicherheitslücke in Windows geschlagen. Ein mit Windows 10 eingeführter Dateityp, der den inzwischen längeren Reigen von Verknüpfungen weiter ausbaut, kann im Zweifelsfall auch ziemlich gefährliche Aktionen auslösen. Herausgearbeitet hat das Problem, das mit den Dateien des SettingContent-ms-Typs heraufzieht, der Sicherheitsforscher Matt Nelson von SpecterOps. In den Files steht eigentlich nur ein wenig XML-Code, über den Anweisungen an das Betriebssystem übergeben werden können. Und der Zweck der Dateien besteht letztlich auch nur darin, den Nutzer über eine passende Verknüpfung direkt in einen bestimmten Bereich der Systemeinstellungen schicken zu können.

Das Problem besteht allerdings darin, dass sich in den XML-Code nicht nur die Sprungbefehle in die Einstellungen-App einbetten lassen. Es können durchaus auch alle anderen Programme auf dem System aufgerufen werden - darunter natürlich auch PowerShell. Und es ist ebenso kein Problem, diesen Aufrufen Parameter mitzugeben oder auch mehrere Anwendungen hintereinander zu starten. Dadurch lassen sich letztlich Kommandos zusammenstellen, die den Auftakt für einen durchschlagenden Angriff darstellen können.

Start direkt aus dem Web

Wie Nelson hervorhebt, wäre das alles kaum ein Problem, wenn lediglich lokale Dateien dieser Art einfach gestartet werden können. Er konnte allerdings vorführen, wie auch ein SettingContent-ms-Script, das auf seinem Webserver liegt, beim Anklicken ohne weitere Hürde ausgeführt wird. So können auf manipulierten Webseiten neue Angriffsvektoren geöffnet werden.

Der Sicherheitsforscher hat das Problem bereits vor einiger Zeit an Microsoft gemeldet und hat entsprechend der allgemeinen Benimmregeln im Netz auch die Öffentlichkeit informiert. Da in Redmond noch niemand wirklich auf die Schwachstelle reagiert hat, scheint man diese dort nicht sonderlich ernst zu nehmen. Es ist aber letztlich doch damit zu rechnen, dass zumindest das automatische Ausführen von Dateien im Web mit einer der kommenden Windows-Aktualisierungen weggepacht wird.

Download Windows 10: Patch für das Frühlings-Update

Siehe auch: