Schwachstelle in wichtiger Sicherheitsfunktion von Windows 10 aufgedeckt

Der Sicherheitsforscher Will Dormann vom CERT/CC der Carnegie Mellon University hat eine Schwachstelle in einer Sicherheitsfunktion von Windows 10 entdeckt, die speicherbasierte Angriffe begünstigt. Sie steckt in der Funktion Adress Space Layout Randomization (ASLR), die unter bestimmten Bedingungen Anwendungen offenbar keine zufälligen, sondern feste Speicheradressen zuweist.

Speicherbasierte Angriffe auf Anwendungen sind immer dann einfacher, wenn der Angreifer deren Speicheradresse kennt. ASLR soll genau das verhindern, indem es zufällige Adressen generiert, die nicht erraten werden können. Eingeführt mit Windows Vista, wurde die Sicherheitsfunktion ab Windows 8 erweitert, um die zufällige Vergabe von Speicheradressen zu erzwingen – was Microsoft Force ASLR oder System-Wide Mandatory ASLR nennt.

Diese Erweiterung gilt für Anwendungen, die ASLR eigentlich nicht anbieten. Bisher ließ sie sich über das Enhanced Mitigation Experience Toolkit (EMET) aktivieren. Seit Windows 10 Fall Creators Update ist EMET ein fester Bestandteil den Windows Defender Exploit Guard (WDEG).

Das Problem ist nun, dass Windows 8 und 10 bei einem erzwungenen ASLR Programmen stets dieselbe Speicheradresse zuweisen. “Ab Windows 8.0 fehlt dem systemweit erzwungenen ASLR jegliche Entropie, was es eigentlich nutzlos macht”, kommentierte Dormann per Twitter. “Windows Defender Exploit Guard für Windows 10 sitzt im selben Boot.”

Auf den Bug stieß Dorman bei der Analyse einer kürzlich entdeckten Schwachstelle im Microsoft Equation Editor. Das ist eine vor 17 Jahren kompilierte Software. Damals gab es noch kein ASLR. Ein Administrator könne ASLR für den Microsoft Equation Editor aktivieren und damit der Anwendung eine vorhersehbare Speicheradresse zuordnen. “Das macht die Ausnutzung bestimmter Arten von Anfälligkeiten leichter”, heißt es in einem von Dorman verfassten Advisory.

Darin weist er auch darauf hin, dass der Fehler nicht nur die Sicherheitsfunktion ASLR unter bestimmten Bedingungen unter Windows 10 und Windows 8 unbrauchbar macht, beide Betriebssysteme seien damit zudem unsicherer als Windows 7. “Tatsächlich ist unter Windows 7 mit systemweitem ASLR per EMET die Speicheradresse des Equation Editor nach jedem Neustart anders.” Unter Windows 10 mit EMET oder WDEG laute die Adresse jedoch stets 0x10000. “Schlussfolgerung: Windows 10 kann ASLR nicht so gut erzwingen wie Windows 7.”

Eine Lösung des Problems liegt derzeit nicht vor. In seinem Advisory beschreibt der Forscher jedoch einen Workaround. Eine Stellungnahme von Microsoft steht noch aus.

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.