Noch eine Zero-Day: Windows-Installer öffnet Angreifern den Weg

Eine Security-Firma hat inzwischen Informationen zu einer weiteren Zero-Day-Schwachstelle veröffentlicht, die mit dem jüngsten Microsoft-Patch-Day beseitigt wurde. Die Sicherheitslücke wirkte über den Windows-Installer, der Code mit zu weitgehenden Rechten ausstattete.

SYSTEM-Rechte für Angreifer

Die Schwachstelle, die als CVE-2024-38014 vermerkt wurde, ist von der Sicherheitsfirma SEC Consult entdeckt und vertraulich an Microsoft gemeldet worden. SEC Consult hat nun die Details zu dieser Sicherheitslücke veröffentlicht und ein Open-Source-Tool bereitgestellt, das Systeme nach potenziell gefährlichen Installationsdateien durchsucht.

Microsoft bestätigte, dass die Schwachstelle bereits aktiv ausgenutzt wird. Um diese Sicherheitslücke zu schließen, hat Microsoft eine Benutzerkontensteuerungsaufforderung (UAC-Prompt) eingeführt, die aktiviert wird, bevor der Designfehler missbraucht werden kann. Dadurch muss der Nutzer über Administratorrechte verfügen, um die Aktion durchzuführen, was den Weg zur unbefugten Privilegienvergabe effektiv unterbindet.


Der Sicherheitsforscher Michael Baer von SEC Consult entdeckte die Schwachstelle bereits im Januar. Die Behebung erwies sich jedoch als komplex, und Microsoft bat um mehr Zeit, um die Lücke mit einem Patch zu schließen. Ursprünglich sollte die Sicherheitslücke bereits im Mai behoben werden, doch technische Herausforderungen verzögerten die Veröffentlichung bis September. In einem Blogbeitrag hat Baer nun ausführlich erklärt, wie der Angriff funktioniert.

Der Angriff erfolgt, indem ein Benutzer mit geringen Rechten ein Installationspaket öffnet, um bereits installierte Software auf einem verwundbaren Windows-System zu reparieren. Dabei nutzt der Angreifer eine kurze Gelegenheit während des Reparaturvorgangs, der mit vollen SYSTEM-Rechten läuft, um diese Privilegien zu übernehmen und somit mehr Kontrolle über das System zu erlangen.

Skript hilft

Der Angriff wird möglich, indem der Nutzer während des Reparaturprozesses ein Konsolenfenster, das kurzzeitig erscheint, manipuliert. Indem er schnell auf die obere Leiste des Fensters klickt und "Eigenschaften" auswählt, kann er das Verschwinden des Fensters verhindern und in einem weiteren Schritt eine Kommandozeile mit SYSTEM-Rechten öffnen.

SEC Consult weist jedoch darauf hin, dass der Angriff nicht mit neueren Versionen von Edge oder Internet Explorer funktioniert. Zudem sind nicht alle .msi-Dateien anfällig. Um die manuelle Überprüfung der Installationspakete zu erleichtern, hat SEC Consult ein Python-basiertes Tool namens "msiscan" entwickelt, das die Prüfung automatisch übernimmt.


Siehe auch: