Microsoft kümmert sich nicht um Schwachstellen in PowerShell-Gallery

Es gibt neue Vorwürfe gegen Microsoft, dass das Unternehmen die Sicherheit seiner Softwareprodukte zu sehr auf die leichte Schulter nimmt. Dieses Mal geht es einem Bericht zufolge um Schwachstellen in der PowerShell-Gallery - die angeblich schon geschlossen wurden.

Microsoft versäumt Lücken zu beheben

Das Sicherheitsforscherteam von Aqua Security hat diesen interessanten Bericht veröffentlicht, der eine Reihe von bestehenden und teils kritischen Sicherheitslücken aufzeigt, die sich derzeit noch in der PowerShell Gallery von Microsoft befinden. Bei dieser Galerie handelt es sich um ein Repository, das Skripte, Module und Desired State Configuration (DSC) Ressourcen enthält.

Entdeckt hatte Aqua Security die Schwachstellen in PowerShell Gallery schon vor rund einem Jahr und damals auch gleich an Microsoft gesendet.


Aqua Security fand heraus, dass PowerShell Gallery-Pakete für sogenannte Typosquatting-Probleme anfällig sind, d. h. im Wesentlichen für die Ausnutzung eines Tippfehlers durch ein potenzielles Opfer. Das Team fand auch Beweise für weiteres Spoofing durch die Fälschung von Modul-Metadaten. Schließlich entdeckte AquaSec, dass auch nicht gelistete Pakete offengelegt wurden.

Probleme bekannt

Microsoft kennt die Probleme schon seit Langem und hat wie es die Sicherheitsforscher nun darstellen, trotzdem bisher keine Korrektur vorgenommen:

"Obwohl die Schwachstellen bei zwei verschiedenen Gelegenheiten an das Microsoft Security Response Center gemeldet wurden, mit Bestätigung des gemeldeten Verhaltens und Behauptungen über laufende Korrekturen, sind die Probleme bis August 2023 weiterhin reproduzierbar, was darauf hindeutet, dass keine greifbaren Änderungen implementiert worden sind.

Dagegen gab es im März eine Rückmeldung von Microsoft, man habe sich den Problemen angenommen. Aqua Security konnte aber auch noch am 16. August 2023 die Schwachstellen reproduzieren. Das Team rät daher, aktuell Pakete aus der Powershell Gallery nur mit äußerster Vorsicht zu verwenden.


Siehe auch: