Google und Microsoft haben komplett neue Windows-Lücke verstanden

Wenn Googles Project Zero-Team von seinem Prinzip, Informationen zu neu entdeckten Sicherheitslücken nach jeweils 90 Tagen zu veröffentlichen, abweicht, muss schon etwas Besonderes dahinterstecken. In einem Fall arbeiten die Experten schon seit gut einem Jahr zusammen mit Microsoft-Entwicklern daran, einem Problem genauer auf die Schliche zu kommen. Nicht jede Sicherheitslücke ist immerhin ein Programmierfehler, der relativ einfach aus der Welt zu schaffen ist. Das zeigten bereits die Spectre- und Meltdown-Schwachstellen in den Prozessoren, die im vergangenen Jahr bekannt wurden. Jetzt berichtet Ars Technica von einem Problem in Microsofts Windows-Plattform, das schon seit geraumer Zeit erforscht wird, aber noch nicht vollständig durchdrungen wurde.

Der Google-Sicherheitsforscher James Forshaw hatte bereits vor drei Jahren die Ahnung geäußert, dass es ein Problem mit der Rechteprüfung geben könnte. Hier geht es nicht um einen normalen Bug, sondern um ein tiefergehendes Problem, das sich aus der Architektur ergibt. Weitestgehend sieht es so aus, dass Windows stets prüft, ob ein Nutzer die Rechte zum Öffnen einer bestimmten Datei hat, indem die Einträge in der Access Control List (ACL) mit der jeweiligen User-ID abgeglichen werden.

Praxisrelevanz lange unklar

Dieser Abgleich findet lediglich dann nicht statt, wenn der Kernel auf Daten zugreifen will - denn dieser muss ohnehin allumfassende Rechte haben, um überhaupt andere Regelungen vornehmen und diese steuern zu können. Forshaw arbeitete seit längerer Zeit daran, Klarheit darüber zu bekommen, ob sich aus der nicht stattfindenden Prüfung beim Kernel ein Exploit konstruieren lässt oder ob es sich hier um ein Problem handelt, das zwar theoretisch existiert, aber keine praktische Relevanz hat.

Und wie sich schließlich herausstellte, könnten tatsächlich mit einigem Aufwand entsprechende Angriffe durchgeführt werden. Beispielsweise dort, wo bei Treibern eine Mischung aus einfachen Aufrufen mit Nutzerrechten und auch Aktionen mit Kernel-Privilegien vorkommen.

Um das Problem tiefer zu verstehen, wurde aber Zugriff auf die entsprechenden Windows-Quellcodes benötigt. Als die Microsoft-Entwickler in die Materie eintauchten, entdeckten sie allerdings praktisch noch keine bestehenden Probleme. Die Kooperation zwischen den Sicherheitsforschern Googles und Microsofts führte aber zu Änderungen am Code, mit denen mögliche Angriffsvektoren beseitigt werden. Diese kommen allerdings nicht in Form eines klassischen Patches, sondern werden in der kommenden Windows 10-Version, die in einigen Wochen erscheint, ausgerollt.