Google macht ungepatchte Schwachstelle in Windows AppContainer öffentlich
Der Bug erlaubt es, bestimmte Beschränkungen des AppContainers zu umgehen. Google macht die Details öffentlich, weil Microsoft keinen Patch bereitstellen will. Nach einer Kehrtwende arbeitet der Softwarekonzern nun doch an einem Fix.
James Forshaw, Sicherheitsforscher bei Googles Project Zero, hat eine Schwachstelle im Windows AppContainer entdeckt. Die Sicherheitsfunktion soll Anwendungen in einem geschlossenen Bereich ausführen und sicherstellen, dass sie nur auf bestimmte Ressourcen zugreifen – Forshaw zufolge lassen sich diese Einschränkungen jedoch umgehen, wie SecurityWeek berichtet.
In einem Blogeintrag beschreibt er das Zusammenspiel von Windows Firewall und AppContainer. “Anwendungen, die in einem AppContainer implementiert sind, können nicht gehackt werden, um bösartige Aktionen außerhalb der begrenzten zugewiesenen Ressourcen zu ermöglichen”, zitiert er dabei aus einer offiziellen Dokumentation des AppContainer.
Seine Erkenntnisse teilte er demnach bereits Anfang Juli mit Microsoft. Der Softwarekonzern soll ihm jedoch zehn Tage später mitgeteilt haben, dass kein Update für die Schwachstelle geplant sei, dass sie sich nur ausnutzen lassen, nach der AppContainer bereits kompromittiert sei.
Als Folge machte Forshaw seinen Fehlerbericht inklusive Beispielcode für einen Exploit bereits am 19. Juli öffentlich. Kurz bevor der Forscher seinen detaillierten Blogeintrag zu der Anfälligkeit inklusive veröffentlichen konnte, teilte Microsoft ihm mit, dass es nun doch einen Patch für die Sicherheitslücke entwickeln werde. Ende vergangener Woche machte Forshaw dann auch seine technische Analyse der Schwachstelle für die Allgemeinheit zugänglich.
Eigentlich sehen Googles eigene Regeln für einen verantwortungsvollen Umgang mit Sicherheitslücken vor, dass vertrauliche Fehlerberichte bis zur Freigabe eines Patches durch den Hersteller unter Verschluss bleiben. Sollte ein Hersteller allerdings nicht innerhalb von 90 Tagen sowie einer möglichen Nachfrist einen Patch bereitstellen, behält sich Google das Recht vor, eine Anfälligkeit auch ohne verfügbares Update zu veröffentlichen. Im konkreten Fall beruft sich Forshaw darauf, dass Microsoft zwischenzeitlich die Entwicklung eines Fixes abgelehnt hatte, was Google als weitere Ausnahme für eine frühzeitige Veröffentlichung ansieht.
Wann ein Patch zur Verfügung stehen wird, ist nicht bekannt. Auf Nachfrage von SecurityWeek teilte Microsoft lediglich mit, es prüfe die Situation und unternehme als Notwendige, um seine Kunden zu schützen.
