WORLDTECHMicrosoft schließt still Windows-11-Lücke in Get Help, die SYSTEM-Zugriff erlaubte
Microsoft hat eine Lücke in der Fehlerbehebungsplattform Get Help von Windows 11 ohne großes Aufsehen geschlossen, die Standardnutzern erlaubte, Code mit SYSTEM-Rechten auszuführen. Das berichtet iTnews. Vergeben hat der Konzern für den Fehler keine CVE-Kennungen. Entdeckt wurde er von Ben Wilson vom Melbourner Sicherheitsdienst Tanto Security.
So wurde die Fehlerbehebung missbraucht
Get Help führt Fehlerbehebungspakete aus, also Bündel von PowerShell-Skripten, die Microsoft bereitstellt. Diese Skripte laufen über den Diagnostic Execution Service, kurz DiagSvc, eine Komponente mit SYSTEM-Rechten, der höchsten Berechtigungsstufe, die ein Prozess auf einem Windows-Rechner haben kann.
Wilson nahm die Fehlerbehebung unter die Lupe, die das Media Creation Tool abruft, ein Werkzeug zum Erstellen von Windows-Installationsmedien. Das Skript legte in einem temporären Verzeichnis einen Ordner an, in den gewöhnliche Nutzer schreiben konnten, platzierte das Tool darin und startete es unter SYSTEM.
Wilson nutzte zwei Race Conditions aus, kurze Zeitfenster, in denen sich die Reihenfolge von Abläufen verschieben lässt. Das Skript entfernte eine vorhandene Kopie des Ordners und pausierte, um einen Logeintrag zu schreiben, bevor es ihn neu anlegte. In dieser Pause konnte Wilsons Code den Ordner zuerst erzeugen, übernehmen und die eigene ausführbare Datei unterschieben, die dann unter SYSTEM gestartet wurde.
Dienststart ohne Administratorfreigabe
Frühere Windows-Fehlerbehebungen verlangten eine Zustimmung durch einen Administrator, bevor DiagSvc gestartet werden konnte. Unter Windows 11 stellte Wilson fest, dass jeder Standardnutzer den Dienst direkt starten konnte, ohne dass überhaupt eine Abfrage nach Administratorrechten erschien.
Prämien und ungelöste Punkte
Microsoft zahlte Wilson jeweils 8000 US-Dollar für die Fehler in der Media-Creation-Tool- und der Outlook-Diagnose, insgesamt 16.000 US-Dollar. Ein dritter Fehler in der Kalender-Diagnose bleibt unbezahlt und befindet sich weiterhin in der Offenlegung. Die Darstellung stützt sich auf eine einzige Quelle, und die Fakten sagen nicht, wie viele Nutzer betroffen waren.
Offene Fragen
- Vergibt Microsoft später noch CVE-Kennungen für die behobenen Lücken?
- Wann wird die unbezahlte Schwachstelle in der Kalender-Diagnose behoben?