Microsoft hat das Anniversary Update mit einem peinlichen Fehler ausgeliefert, der sicherheitstechnisch extrem bedenklich ist. Mit dem Update wurde auch eine Secure Boot Policy in den eigenen Bootloader eingebaut, die es ermöglicht, nicht korrekt signierte Komponenten zu booten. Es muss lediglich eine Signierung bestehen, unabhängig wie valide diese ist und die Komponenten werden gestartet. Das war vor dem Update nicht möglich, denn der Sicherheitsmechanismus startet nur Systemteile, die von Microsoft signiert waren, um zu verhindern, das schädliche Software mit geladen wurde.
Damit ist es möglich, auch aus der Ferne Secure Boot zu umgehen und eigenen Code auszuführen – zumindest wenn der Angreifer Administrator-Rechte auf dem Rechner besitzt. Sicherheitsprobleme gibt es daher in erster Linie, wenn eventuelle Angreifer ohnehin bereits Admin-Rechte haben, was mögliche Angriffe deutlich erschwert. Peinlich ist diese Sicherheitslücke aber dennoch, vor allem, weil das Unternehmen bereits zweimal daran gescheitert ist, diese Lücke wieder zu beheben.
Heise schreibt zu den Versuchen, den Fehler zu beheben:
Die beiden Sicherheitsforscher, die Microsofts Fauxpas entdeckten, informierten die Firma im März. Zuerst wurde ihnen mitgeteilt, dass man das Problem nicht beheben wolle. Im Juli veröffentlichte Microsoft dann im Rahmen des Patchdays das Update MS16-094, allerdings stellten die Forscher fest, dass durch einen weiteren eklatanten Fehler Microsofts dieser das Problem nicht behebt. Auch der Patch MS16-100 vom gestrigen Patchday erschwert den Missbrauch der Policy nur, verhindert ihn aber nicht.
Nutzer können an der Stelle auch relativ wenig tun (außer eventuell schauen, wer alles Administrator-Rechte auf dem Rechner hat), es ist aber zu erwarten, das Microsoft im nächsten Anlauf die Lücke beheben wird. Ansonsten wäre man bereits zum dritten Mal am eigenen Code gescheitert und das wäre wirklich ein Armutszeugnis.
via heise
Mobilfunk-Newsletter: Einmal pro Woche die neusten Informationen rund um Handy, Smartphones und Deals!
Unser kostenloser Newsletter informiert Sie regelmäßig per E-Mail über Produktneuheiten und Sonderaktionen. Ihre hier eingegebenen Daten werden lediglich zur Personalisierung des Newsletters verwendet und nicht an Dritte weitergegeben. Sie können sich jederzeit aus dem Newsletter heraus abmelden. Durch Absenden der von Ihnen eingegebenen Daten willigen Sie in die Datenverarbeitung ein und bestätigen unsere Datenschutzerklärung.
Immer die aktuellsten Nachrichten direkt im Smartphone.
Unsere Kanäle gibt es kostenlos hier:
Telegram: Appdated Telegram Channel
Facebook: Appdated Facebook Seite
Twitter: Appdated Twitter Channel
Technikaffin seit den Zeiten von Amiga 500 und C64 – mittlerweile aber eher mit deutlichem Fokus auf die Bereich Mobilfunk und Telekommunikation. Die ersten Artikel im Telco Bereich habe ich bereits 2006 geschrieben, seit dem bin ich dem Thema treu geblieben und nebenbei läuft mittlerweile auch noch ein Telefon- und Smartphone Museum um die Entiwcklung zu dokumentieren.
Das ist doch super sonst könnte niemand ein alternatives BS auf zb. einem Lenovo installieren da der Loader so was von abgeriegelt ist das selbst die Bios Einstellung “Secure Boot = aus” ohne Wirkung bleibt