Donnerstag, 21. Januar 2010
Sicherheitswarnung! Sicherheitslücke in Windows-Kernel (16-bit Virtualisierung) ermöglicht Rechteausweitung [3. Update]
Microsoft warnt im Security Advisory 979682 (deutschsprachig) vor einer jetzt veröffentlichten Sicherheitslücke im Windows-Kernel von 32-bit (x86) Versionen von Windows, über die sich ein lokal angemeldeter Benutzer höhere Zugriffsrechte verschaffen könnte (Elevation of Privilege). Die Lücke findet sich im NT Virtual DOS Mode (NTVDM) des Windows Kernels, der für die Ausführung von 16-bit Anwendungen verwendet wird. 64-bit (x64) Versionen von Windows sind von dieser Sicherheitslücke nicht betroffen, da hierunter ohnehin keine 16-bit Programme (mit Bordmitteln) ausgeführt werden können.
Microsoft arbeitet nach eigenen Angaben an einem Sicherheitsupdate. [2. Update] In einem weiteren Eintrag im MSRC-Blog teilt Microsoft mit, dass mit der Veröffentlichung eines Sicherheitsupdates, welches diese Lücke schließen soll, am 09. Februar 2010 zu rechnen sei, dem nächsten regulären Patch-Day (jeden zweiten Dienstag im Monat). [/2. Update]
3. Update] Wie angekündigt wurde die Sicherheitslücke mit dem Sicherheitsupdate KB977165 (MS10-015) (englisch bzw. deutsch) behoben, das ma 09. Februar 2010 veröffentlicht wurde. Siehe auch die separaten Artikel hierzu für Windows XP sowie Windows 7 auf dieser kleinen Site.
Microsoft arbeitet nach eigenen Angaben an einem Sicherheitsupdate. [2. Update] In einem weiteren Eintrag im MSRC-Blog teilt Microsoft mit, dass mit der Veröffentlichung eines Sicherheitsupdates, welches diese Lücke schließen soll, am 09. Februar 2010 zu rechnen sei, dem nächsten regulären Patch-Day (jeden zweiten Dienstag im Monat). [/2. Update]
3. Update] Wie angekündigt wurde die Sicherheitslücke mit dem Sicherheitsupdate KB977165 (MS10-015) (englisch bzw. deutsch) behoben, das ma 09. Februar 2010 veröffentlicht wurde. Siehe auch die separaten Artikel hierzu für Windows XP sowie Windows 7 auf dieser kleinen Site.
Abhilfe bis zur Beseitigung der Sicherheitslücke:
Microsoft empfiehlt das Deaktivieren von NTVDM, falls keine 16-bit Anwendungen installiert sind bzw. verwendet werden. Dies kann unter Windows XP Professional und unter Windows 7 Professional, Ultimate und Enterprise über den Gruppenrichtlinien-Editor (Start -> Ausführen bzw. Suchfeld -> gpedit.msc [Enter]) von einem Benutzer mit Adminstrator-Rechten durchgeführt werden. In den Gruppenrichtlinien über "Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Anwendungskompatibilität" die Richtlinie "Zugriff auf 16-Bit-Anwendungen verhindern" aktivieren. Entgegen der Aussage des Gruppenrichtlinen-Editors, dass hierzu mindestens Windows Server 2003 Voraussetzung sei, wirkt die Richtline auch unter Windows XP.
Anwender von Windows XP Home Edition oder Windows 7 Home Premium, unter denen kein Gruppenrichtlinien-Editor vorhanden ist, können die Richtlinie über einen entsprechenden Registry-Eintrag aktivieren. Der Einfachheit halber stelle ich die Advisory979682.zip zum Download zur Verfügung. Die (nach dem Auspacken/Öffnen der ZIP-Datei zum Vorschein kommende) "enableAdvisory979682.reg" deaktiviert NTVDM, wenn sie von einem Benutzer mit Adminstratoren-Rechten über einen Doppelklick in die Registry importiert wird. Die ebenfalls enthaltene "disableAdvisory979682.reg", reaktiviert das derzeit anfällige NTVDM im Bedarfsfall, setzt also auch die "Gruppenrichtlinie" außer Kraft.
[Update]
Inzwischen stellt Microsoft über den neuen MSKB-Artikel KB979682 eine "Fix it!"-Lösung bereit, welche NTVDM ebenfalls halbautomatisch deaktiviert.
[/Update]
Microsoft empfiehlt das Deaktivieren von NTVDM, falls keine 16-bit Anwendungen installiert sind bzw. verwendet werden. Dies kann unter Windows XP Professional und unter Windows 7 Professional, Ultimate und Enterprise über den Gruppenrichtlinien-Editor (Start -> Ausführen bzw. Suchfeld -> gpedit.msc [Enter]) von einem Benutzer mit Adminstrator-Rechten durchgeführt werden. In den Gruppenrichtlinien über "Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Anwendungskompatibilität" die Richtlinie "Zugriff auf 16-Bit-Anwendungen verhindern" aktivieren. Entgegen der Aussage des Gruppenrichtlinen-Editors, dass hierzu mindestens Windows Server 2003 Voraussetzung sei, wirkt die Richtline auch unter Windows XP.
Anwender von Windows XP Home Edition oder Windows 7 Home Premium, unter denen kein Gruppenrichtlinien-Editor vorhanden ist, können die Richtlinie über einen entsprechenden Registry-Eintrag aktivieren. Der Einfachheit halber stelle ich die Advisory979682.zip zum Download zur Verfügung. Die (nach dem Auspacken/Öffnen der ZIP-Datei zum Vorschein kommende) "enableAdvisory979682.reg" deaktiviert NTVDM, wenn sie von einem Benutzer mit Adminstratoren-Rechten über einen Doppelklick in die Registry importiert wird. Die ebenfalls enthaltene "disableAdvisory979682.reg", reaktiviert das derzeit anfällige NTVDM im Bedarfsfall, setzt also auch die "Gruppenrichtlinie" außer Kraft.
[Update]
Inzwischen stellt Microsoft über den neuen MSKB-Artikel KB979682 eine "Fix it!"-Lösung bereit, welche NTVDM ebenfalls halbautomatisch deaktiviert.
[/Update]
Kommentare
Ansicht der Kommentare:
(Linear | Verschachtelt)
Hallo,
woher weiß ich denn ob ich 16 BIT Anwendungen habe oder brauche. XP-prof. SP3. Gesehen oder aufgefallen ist mir das noch nie.
Thx
woher weiß ich denn ob ich 16 BIT Anwendungen habe oder brauche. XP-prof. SP3. Gesehen oder aufgefallen ist mir das noch nie.
Thx
#1
am
21.01.2010 13:30
Moin Robert,
ich mutmaße, dass Du (wie die meisten anderen Heimanwender auch) kein 16-bit Progrämmchen auf dem System "installiert" hast. Ob ein solches tatsächlich installiert ist, lässt sich von außen defakto kaum feststellen.
Mein Rat: NTVDM deaktivieren und testen, ob alle Anwendungen ordnungsgemäß laufen. Falls nein, im Bedarfsfall NTVDM wieder aktivieren, was allerdings die "Lücke" wieder öffnet.
Bye,
Freudi
ich mutmaße, dass Du (wie die meisten anderen Heimanwender auch) kein 16-bit Progrämmchen auf dem System "installiert" hast. Ob ein solches tatsächlich installiert ist, lässt sich von außen defakto kaum feststellen.
Mein Rat: NTVDM deaktivieren und testen, ob alle Anwendungen ordnungsgemäß laufen. Falls nein, im Bedarfsfall NTVDM wieder aktivieren, was allerdings die "Lücke" wieder öffnet.
Bye,
Freudi
Hi Freudi,
würdest Du bitte mal auf den Screenie sehen ob das so gemeint ist. Bin da doch etwas verunsichert. Thx
http://s1.directupload.net/images/100121/6jiu9tq4.jpg
würdest Du bitte mal auf den Screenie sehen ob das so gemeint ist. Bin da doch etwas verunsichert. Thx
http://s1.directupload.net/images/100121/6jiu9tq4.jpg
#1.1.1
am
21.01.2010 17:12
Moin Robert,
ja, das ist die entsprechende Richtlinie zum Deaktivieren von NTVDM und sie ist aktiviert
Bye,
Freudi
ja, das ist die entsprechende Richtlinie zum Deaktivieren von NTVDM und sie ist aktiviert
Bye,
Freudi
Danke vielmals! 
#1.1.1.1.1
am
21.01.2010 17:31
Die Kommentarfunktion wurde vom Besitzer dieses Blogs in diesem Eintrag deaktiviert.
Kurzbeschreibung: Sicherheitsupdate, das eine Lücke im Windows-Kernel schließen soll, durch die ein lokal angemeldeter Benutzer höhere Benutzerrechte erlangen kann (Elevation of Priviledge / [...]
Aufgenommen: 09.02.2010 19:29
Kurzbeschreibung: Sicherheitsupdate, das eine Lücke im Windows-Kernel in 32-bit (x86)-Versionen von Windows 7schließen soll, durch die ein lokal angemeldeter Benutzer höhere Rechte erlangen [...]
Aufgenommen: 09.02.2010 20:25