1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Sicherheitslücke: Zero Day im Windows…

Mann muss erst mal lokal drin sein...

  1. Thema

Neues Thema Ansicht wechseln


  1. Mann muss erst mal lokal drin sein...

    Autor: JouMxyzptlk 01.11.20 - 15:02

    Bevor man an die Sicherheitslücke kommt musst man erst mal lokal auf die Maschine kommen, also eine .exe .cmd .ps1 etc ausführen können.
    Info die fehlt: Wird man durch den Exploit, bisher gibt es nur einen Crash-proof-of-concept, dann auch gleich System user? Wäre schön wenn Google dieses Detrail mitgeben könnte. (In zweiter Linie Golem.de ;) )
    Psexec sagt: Ja, wird als System user genutzt. Bug ist also "impersonate as local System" Klasse.

    Edit: Diese Beschreibung als "non-trivial input structure" - das ist IMHO ein lächerlicher Satz von Google. Wenn man mal, zum Vergleich, advapi32.dll GetEffectiveRightsFromAclA ansieht um die Effektiven Rechte auslesen zu lassen - das ist auch nicht trivial.
    https://docs.microsoft.com/en-us/windows/win32/api/aclapi/nf-aclapi-geteffectiverightsfromacla
    https://docs.microsoft.com/en-us/windows/win32/api/winnt/ns-winnt-acl
    https://docs.microsoft.com/en-us/windows/win32/api/accctrl/ns-accctrl-trustee_a
    https://docs.microsoft.com/en-us/windows/win32/secauthz/access-mask

    Und die Funktion gibt es seit Server 2000... Falsch aufgerufen stürzt jedes Programm welches es versucht ab, z.B. Powershell.

    Edit 2: Ich hab das übrigens mal probiert, Ergebnis: Ich musste damals aufgeben. Wenn die Zeit kommt mache ich daran weiter. https://stackoverflow.com/questions/62647388/powershell-calling-advapi32-dll-geteffectiverightsfromacla-crashes-powershell

    Ultra HD ist LOW RES! 8K bis 16K sind mein Metier.



    3 mal bearbeitet, zuletzt am 01.11.20 15:12 durch JouMxyzptlk.

  2. Re: Mann muss erst mal lokal drin sein...

    Autor: kollege 01.11.20 - 20:00

    JouMxyzptlk schrieb:
    --------------------------------------------------------------------------------
    > Bevor man an die Sicherheitslücke kommt musst man erst mal lokal auf die
    > Maschine kommen, also eine .exe .cmd .ps1 etc ausführen können.

    Artikel nicht gelesen?

    > Googles Project Zero hat eine Sicherheitslücke im Windows-Kernel veröffentlicht

    = Lücke im Windows Kernel

    > Sie wird in Kombination mit anderen Sicherheitslücken in Browsern verwendet, um in das System eindringen zu können.

    = Kombiniert mit anderen Lücken im Browser = Chaining

    > Die erste erlaubt das Ausführen von Schadcode innerhalb von Chrome oder Edge, während die zweite ein Ausbruch aus der Browser-Sandbox ermöglicht.

    = Codeausführung LOKAL (Weil Browser... gelle) = Dateien als process user erstellen = Dateien ausführen als process user = Deine Frage beantwortet



    1 mal bearbeitet, zuletzt am 01.11.20 20:01 durch kollege.

  3. Re: Mann muss erst mal lokal drin sein...

    Autor: JouMxyzptlk 01.11.20 - 23:32

    kollege schrieb:
    --------------------------------------------------------------------------------
    > Artikel nicht gelesen?

    Verlinkten Google Eintrag nicht gelesen?
    Es ist der cng.sys Treiber welcher vom Kernel geladen wird. Wenn ich jetzt so pingelig bin wie du müsste ich schreiben "Golem hat falsch berichtet". Der cng.sys ist nicht zwingend für das Funktionieren nötig, aber selbst Windows PE (das was von der Windows CD bootet vor dem Setup) lädt ihn da sonst z.B.: Bitlocker Volumes nicht gemountet werden können.

    > = Lücke im Windows Kernel

    Siehe oben.

    > = Kombiniert mit anderen Lücken im Browser = Chaining

    Wie ich geschrieben habe, man muss erst mal was im Kontext ausführen. Über andere Sicherheitslücke von z.B.: Browsern, diverse Office Varianten, Mediaplayern, download tools, Lücken in Email Programmen, vom USB Stick etc etc.

    > = Deine Frage beantwortet

    Nö, du hast Fragen reingedichtet welche du bei mehr Wissen nicht reingedichtet hättest. Wenn ich Mist geschrieben hätte dann wäre von jemand anderem im Golem Forum in fünf Minuten die Korrektur gekommen. Du hast fast fünf Stunden gebraucht.

  4. Re: Mann muss erst mal lokal drin sein...

    Autor: Vincent-VEC 02.11.20 - 12:14

    JouMxyzptlk schrieb:
    --------------------------------------------------------------------------------
    > Wenn ich Mist geschrieben hätte dann wäre von jemand anderem
    > im Golem Forum in fünf Minuten die Korrektur gekommen. Du hast
    > fast fünf Stunden gebraucht.

    Ähm - mal unabhängig davon, wer hier Recht hat:
    Ein Forum ist kein Echtzeitmedium. Und bei Artikeln die am WE veröffentlicht werden gilt das ganz besonders.

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. DRÄXLMAIER Group, Vilsbiburg bei Landshut
  2. Diehl Defence GmbH & Co. KG, Überlingen am Bodensee
  3. IKOR AG, Essen (Home-Office möglich)
  4. TOPdesk Deutschland GmbH, Kaiserslautern, Augsburg

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 64,99€
  2. 11€
  3. (u. a. Mega-Man 11 für 11,99€, Lost Planet 3 für 3,99€, Barotrauma für 11€)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Azure Active Directory: Weniger Verzeichnisdienst, mehr Tresor
Azure Active Directory
Weniger Verzeichnisdienst, mehr Tresor

Microsofts bekannten Verzeichnisdienst Active Directory gibt es inzwischen auch in der Cloud des Herstellers. Golem.de zeigt, wie er dort funktioniert.
Von Martin Loschwitz

  1. Microsoft Neue Datenschutzregeln für Sprachsteuerung
  2. Microsoft Betrüger erbeuten 20.000 Euro von Rentnerin
  3. Windows 10 20H2 Microsoft hebt Update-Sperre für einige Windows-PCs auf

Sprachsteuerung mit Apple Music im Test: Es funktioniert zu selten gut
Sprachsteuerung mit Apple Music im Test
Es funktioniert zu selten gut

Eigentlich sollen smarte Lautsprecher den Musikkonsum auf Zuruf besonders bequem machen. Aber die Realität sieht ganz anders aus.
Ein Test von Ingo Pakalski

  1. Streaming Apple Music kommt auf Google-Lautsprecher
  2. Internetradio Apple kündigt Apple Music 1 an und bringt zwei neue Sender

Moodle: Was den Lernraum Berlin in die Knie zwang
Moodle
Was den Lernraum Berlin in die Knie zwang

Eine übermäßig große Datenbank und schlecht optimierte Abfragen in Moodle führten zu Ausfällen in der Online-Lernsoftware.
Eine Recherche von Hanno Böck