Microsoft gibt zu, dass das Windows-Betriebssystem zwei neue 0-Tage-RCE-Sicherheitslücken enthält, die in freier Wildbahn ausgenutzt werden. Hier ist eine funktionierende Lösung

Microsoft Windows OS weist zwei Sicherheitslücken auf, die von Schreibern von bösartigem Code ausgenutzt werden. Die neu entdeckten Sicherheitslücken sind Remote Code Execution- oder RCE-fähig und befinden sich in der Adobe Type Manager-Bibliothek. Durch die Sicherheitslücke können Exploiter nach der Installation selbst der neuesten Updates remote auf die Computer des Opfers zugreifen und diese steuern. Es ist zu beachten, dass noch kein Patch verfügbar ist.

Microsoft hat zugegeben, dass es zwei Zero-Day-Sicherheitslücken in Windows gibt, die schädlichen Code auf vollständig aktualisierten Systemen ausführen können. Die Sicherheitsanfälligkeiten wurden in der Adobe Type Manager-Bibliothek gefunden, mit der das Adobe Type 1 PostScript-Format in Windows angezeigt wird. Microsoft hat versprochen, einen Patch zu entwickeln, um das Risiko zu verringern und die Exploits zu patchen. Das Unternehmen wird die Patches jedoch im Rahmen des kommenden Patch-Dienstags veröffentlichen. Betroffene Windows-Benutzer haben jedoch einige vorübergehende und einfache Problemumgehungen um ihre Systeme vor diesen beiden neuen RCE-Schwachstellen zu schützen.

Microsoft warnt vor Sicherheitslücken bei der Ausführung von Windows-Code für 0 Tage mit begrenztem Potenzial für gezielte Angriffe:

Das neu entdeckte RCE-Schwachstellen In der Adobe Type Manager-Bibliothek befindet sich eine Windows-DLL-Datei, die von einer Vielzahl von Apps zum Verwalten und Rendern von Schriftarten verwendet wird, die in Adobe Systems verfügbar sind. Die Sicherheitsanfälligkeit besteht aus zwei Fehlern bei der Codeausführung, die durch den unsachgemäßen Umgang mit böswillig gestalteten Master-Schriftarten im Adobe Type 1 Postscript-Format ausgelöst werden können. Um den Computer eines Opfers erfolgreich anzugreifen, benötigen die Angreifer lediglich das Ziel, um ein Dokument zu öffnen oder es sogar im Windows-Vorschaufenster in der Vorschau anzuzeigen. Unnötig hinzuzufügen, das Dokument wird mit bösartigem Code gespickt.

Microsoft hat bestätigt, dass Computer ausgeführt werden Windows 7 sind am anfälligsten für die neu entdeckten Sicherheitslücken. Das Unternehmen stellt fest, dass die Sicherheitsanfälligkeit bezüglich der Remotecodeausführung beim Parsen von Schriftarten bei „begrenzten gezielten Angriffen“ auf Windows 7-Systeme verwendet wird. Bei Windows 10-Systemen ist der Umfang der Sicherheitsanfälligkeiten eher begrenzt, heißt es in der Empfehlung:

"Es gibt mehrere Möglichkeiten, wie ein Angreifer die Sicherheitsanfälligkeit ausnutzen kann, z. B. einen Benutzer davon zu überzeugen, ein speziell gestaltetes Dokument zu öffnen oder es im Windows-Vorschaufenster anzuzeigen", so Microsoft. Obwohl es für Windows 10, Windows 8.1 und Windows 7 noch keine Lösung gibt, erklärt das Unternehmen: „Bei Systemen, auf denen unterstützte Versionen von Windows 10 ausgeführt werden, kann ein erfolgreicher Angriff nur zur Codeausführung in einem AppContainer-Sandbox-Kontext mit eingeschränkten Berechtigungen und Funktionen führen.

https://twitter.com/BleepinComputer/status/1242520156296921089

Microsoft hat nicht viele Details zum Umfang der Auswirkungen der neu entdeckten Sicherheitslücken angegeben. Das Unternehmen hat nicht angegeben, ob die Exploits böswillige Nutzdaten erfolgreich ausführen oder es einfach versuchen.

So schützen Sie sich vor neuen 0-Tage-RCE-Sicherheitslücken in Windows in der Adobe Type Manager-Bibliothek

Microsoft muss noch offiziell einen Patch zum Schutz vor den neu entdeckten RCE-Sicherheitslücken veröffentlichen. Die Patches werden voraussichtlich am Patch-Dienstag erscheinen, höchstwahrscheinlich nächste Woche. Bis dahin schlägt Microsoft vor, eine oder mehrere der folgenden Problemumgehungen zu verwenden:

• Deaktivieren des Vorschaufensters und des Detailfensters im Windows Explorer
• Deaktivieren des WebClient-Dienstes
• Benennen Sie ATMFD.DLL um (auf Windows 10-Systemen mit einer Datei mit diesem Namen) oder deaktivieren Sie alternativ die Datei aus der Registrierung

Die erste Maßnahme verhindert, dass Windows Explorer automatisch Open Type-Schriftarten anzeigt. Im Übrigen verhindert diese Maßnahme einige Arten von Angriffen, hindert jedoch einen lokalen, authentifizierten Benutzer nicht daran, ein speziell entwickeltes Programm auszuführen, um die Sicherheitsanfälligkeit auszunutzen.

Durch Deaktivieren des WebClient-Dienstes wird der Vektor blockiert, mit dem Angreifer höchstwahrscheinlich Remote-Exploits ausführen würden. Diese Problemumgehung führt dazu, dass Benutzer zur Bestätigung aufgefordert werden, bevor sie beliebige Programme aus dem Internet öffnen. Trotzdem können Angreifer weiterhin Programme ausführen, die sich auf dem Computer oder dem lokalen Netzwerk des Zielbenutzers befinden.

Die zuletzt vorgeschlagene Problemumgehung ist ziemlich mühsam, da sie Anzeigeprobleme für Anwendungen verursacht, die auf eingebetteten Schriftarten basieren, und dazu führen kann, dass einige Apps nicht mehr funktionieren, wenn sie OpenType-Schriftarten verwenden.

Wie immer werden Benutzer von Windows-Betriebssystemen darauf hingewiesen, nach verdächtigen Anforderungen zum Anzeigen nicht vertrauenswürdiger Dokumente Ausschau zu halten. Microsoft hat eine dauerhafte Lösung versprochen, Benutzer sollten jedoch nicht auf Dokumente aus nicht überprüften oder nicht vertrauenswürdigen Quellen zugreifen oder diese öffnen.