Microsoft-Sicherheitslücke: Weiterhin Gefahr

Trend Micro analysierte einen Schädling für nicht geschlossene Microsoft-Sicherheitslücke: Unternehmen sollten virtuell patchen, Privatanwender den Microsoft-Hotfix einspielen und ihre Sicherheitssoftware aktualisieren. [...]

Unabhängig davon, ob Microsoft den Hotfix für die Sicherheitslücke CVE-2012-1889 durch eine Sicherheitsaktualisierung ersetzt, besteht weiterhin Gefahr. Denn der Schadcode, der diese Lücke ausnutzt, ist im Umlauf und zumindest die Unternehmen haben Schwierigkeiten, Patches sofort nach deren Erscheinen einzuspielen. Trend Micro hat den Schädling mit der Bezeichnung „HTML_EXPLOYT.AE“ nun analysiert.

Der Schädling weist als wesentliche Faktoren den Missbrauch der „Microsoft XML Core Services“, „Heap Spraying“ sowie das Fehlen einer „Return-Oriented-Programming-Funktion“ (ROP) auf. Er kann sich über verschiedene Wege in ein System einschleusen, sei es etwa über E-Mail oder eine bösartige Webseite. Die Schadsoftware versucht, die Lücke CVE-2012-1889 via Internet Explorer auszunutzen. Es fällt auf, dass der Schädling keine Funktion besitzt, um DEP (Data Execution Prevention) zu umgehen. Falls er in einem Internet Explorer läuft, in dem die DEP aktiv ist, so erkennt diese, dass ein Fehler vorliegt, und beendet sicherheitshalber den Microsoft-Browser. Sollten Anwender also vermehrt mit Abstürzen ihres Internet Explorers zu kämpfen haben, sollten sie ihren Rechner umgehend von ihrer Sicherheitssoftware nach Schadcode untersuchen lassen – natürlich nachdem sie ihre Sicherheitslösung auf den aktuellen Stand gebracht haben.
Die kritische Sicherheitslücke in den Microsoft XML Core Services ermöglicht das Ausführen von Code durch Dritte über den Zugriff auf ein nicht initialisiertes COM-Objekt im Arbeitsspeicher. Dadurch kann ein Angreifer beliebigen Code im Rahmen der jeweiligen Berechtigungen des angemeldeten Users ausführen.
Die Microsoft XML Core Services stellen ein Set an Programmierschnittstellen (APIs) für den Zugriff auf bestimmte COM-Objekte bereit, eigentlich dazu gedacht, um Document-Object Model-Aufgaben wie die Verwaltung von Namensräumen zu vereinfachen. Ein Angreifer kann aber damit Websites so präparieren, dass sie eine bösartige Webseite beherbergen, die besagte Microsoft XML APIs aufruft. Dies wiederum ermöglicht den Zugriff auf ein COM-Objekt im Arbeitsspeicher, das zuvor noch nicht gestartet wurde. Die Sicherheitslücke wird ausgenutzt, wenn ein Anwender diese präparierten Webseiten mit dem Internet Explorer öffnet. Anwender dürften über anklickbare Links in einer speziell präparierten E-Mail-Nachrichten oder Instant Messages in die Falle gelockt werden.