Ein Notfall-Patch von Microsoft schließt eine sehr kritische Sicherheitslücke in nahezu allen Windows-Versionen. Diese Lücke können Angreifer ausnutzen, um über sie die Kontrolle über ein System zu übernehmen.
Entdeckt hatten die Schwachstelle die beiden Google-Forscher Tavis Ormandy und Natalie Silvanovich und letzten Freitag dem Hersteller Microsoft gemeldet. Via Twitter kündigten die Forscher an, auf eine „unfassbar schlimme“ Windows-Lücke gestoßen zu sein, und wie die veröffentlichten Details deutlich machen, haben die beiden damit nicht übertrieben.
Die Sicherheitslücke steckt in der Virenschutz-Engine
Die Lücke steckt in Micosofts Virenscanner-Engine, die schon seit Windows 8 als „Defender“ fester zum Betriebssystems gehört. In älteren Versionen des Betriebssystems ist sie Teil des gleichnamigen Antispyware-Programms und auch in der kostenlosen Virenschutz-Software Microsoft Security Essentials (MSE) erhalten.
Die Engine untersucht vom System verarbeitete Daten vor der Ausführung auf Schadcode. Hält die Engine den Inhalt von Netzwerkpaketen oder Dateien etwa für JavaScript-Code, führt sie ihn zu Analysezwecken aus – und da liegt der Hase im Pfeffer!
Denn dabei leistet sich die Microsoft Malware Protection Engine (MsMpEn) einen fatalen Fehler, den der Bericht der Google-Forscher offenbart: Es kommt dabei nämlich unter bestimmten Umständen zu einer sogenannten Type Confusion.
Eine Funktion des zur Überprüfung von solchen JavaScript-Codes genutzten Interpreters überprüft ihre Eingabewerte nicht ausreichend, und das führt letztlich dazu, dass Angreifer die Kontrolle über den Prozess übernehmen können. Das fatale daran ist, dass dieser Prozess mit System-Rechten läuft und nicht von einer Sandbox geschützt wird. Der Angreifer erlangt deshalb durch diese Lücke die höchstmögliche Rechte über das verwundbare System.
Nach Angaben von Microsoft sind die folgenden Produkte betroffen :
- Windows 8 bis 10 (einschließlich RT)
- Microsoft Security Essentials
- Windows Defender for Windows 7 – 8.1 (einschließlich RT)
- Microsoft Forefront Endpoint Protection 2010
- Microsoft Endpoint Protection
- Microsoft Forefront Security for SharePoint Service Pack 3
- Microsoft System Center Endpoint Protection
- Windows Intune Endpoint Protection
Abhilfe bringt ein Update der Microsoft Malware Protection Engine, das laut Microsoft auch automatisch installiert wird. Die abgesicherte Version der Microsoft Malware Protection Engine hat die Versionsnummer 1.1.13704.0.
Wer ganz sicher sein möchte und das Update noch nicht bekommen hat, kann den Updatevorgang auch manuell anstoßen. Unter Windows 10 mit Creators Update finden Sie den Update-Knopf über eine Startmenü-Suche nach „Defender“, „Windows Defender Security Center“, „Viren- & Bedrohungsschutz“ und dann „Schutzupdates“.
