Joerg´s IT-Tech Blog

Microsoft Technologien und über den Tellerrand hinaus, Aber vorher das TESTEN nicht vergessen!

Windows Sicherheitslücke in Virtual DOS Machine

Posted by JoergS - 20. Januar 2010

Hi,

nun wurde noch eine Lücke in Windows bekannt, die von Tavis Ormandy (Google-Sicherheitsteam) öffentlich gemacht wurde.

Die Ursache für dieses Problems sind Fehler in Virtual DOS Machine (VDM, 1993 eingeführt) zur Unterstützung von 16-Bit-Anwendungen (Real-Mode-Anwendungen für 8086). Die VDM beruht auf dem Virtual 8086 Mode (VM86) der 80386-Prozessoren und fängt unter anderem Hardware-Zugriffe wie BIOS-Aufrufe ab. Betroffen davon sind vermutlich alle 32-Bit-Windows-Versionen von Windows NT 3.1 bis sogar  Windows 7. Durch die diese Lücke können Anwender (oder auch ein nicht-privilegiertes 16-Bit-Programm) mit eingeschränkten Rechten an System-Rechte gelangen und mit mehreren Tricks den zu jedem Prozess gehörenden Kernel-Stack manipulieren. Damit ist es möglich, Code mit Systemrechten auszuführen.

Der Exploit den Ormandy dazu veröffentlicht hat funktioniert wohl unter unter Windows XP, Windows Server 2003 und 2008, Windows Vista und Windows 7. Dabei wurde ein Eingabeaufforderung im System-Kontext, also mit den höchsten Rechten augerufen.

Ein Workarounds dazu ist einfach zu realisieren sind: Man schaltet das MSDOS-Subsystem ab.

Dazu muss man im die Gruppenrichtliniemeditor unter Computerkonfiguration/Administrative Vorlagen/Windows-Komponenten/Anwendungskompatibilität“ die Option „Zugriff auf 16-Bit-Anwendungen verhindern“ aktivieren. Dies funktioniert aber erst seit Windows Server 2003.

Alternativ kann man auch in der Registry den Schlüssel „HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\AppCompat“ erzeugen und dort als D-Word-Wert „VDMDisallowed“ mit dem Wert 1 anlegen oder sich die Datei „vdmdisallow.reg“ mit folgenden Inhalt anlegt:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\AppCompat] „VDMDisallowed“=dword:00000001

und die Datei mit Adminrechten ausführt.

Na dann, Viel Spass beim selber testen!
CU

Schreibe einen Kommentar

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s

 
%d Bloggern gefällt das: