webBrett

„Schlechte Angewohnheiten beim Programmieren, die dem Thema Sicherheit keine Beachtung schenken“: Das ist laut Mickey Shkatov, Forschungsleiter bei der Sicherheitsfirma Eclypsium, der Grund für Sicherheitslücken in Windows-Gerätetreibern von 20 namhaften IT-Herstellern. Wie zdnet.com berichtet, hat Eclypsium auf der Hacker-Konferenz DEF CON 27 über Sicherheitslücken in über 40 Kernel-Treibern von 20 Herstellern berichtet.

Den sicherheitsanfälligen Treibern ist gemein, dass Angreifer recht einfach über die Gerätesoftware Schreibzugriff auf sensible Bereiche des Windows-Betriebssystems erlangen können. Darunter ist der Kernel, praktisch die Basis des Betriebssystems, auf der erweiterte Funktionen, die moderne Oberfläche und mehr aufgebaut sind.

Eigentlich sollten Treiberebene und Kernel vor Eingriffen durch schädliche Software geschützt sein. Der Fehler der Treiberprogrammierer offenbart sich, wenn signierte Treiber Schreibfunktionen für den Kernel anbieten und entsprechende Software diese ausnutzen kann: ohne dass damit Einschränkungen oder Prüfungen seitens Microsoft einhergehen.

„Programmierer designen Treiber nicht, damit diese nur eine bestimmte Aufgabe erfüllen. Sie werden flexibel aufgebaut und bringen munter Funktionen mit, auf die unabhängige Software zugreifen kann. Es ist einfacher, Treiber so zu konzipieren – bringt aber ein Risiko mit.“, sagt Shkatov.

20 Hersteller seien betroffen, von denen nur die folgenden 17 Firmen bislang mit Updates reagiert haben. Die Verbleibenden werden nicht genannt: etwa weil zusätzliche Zeit für die Problembehebung notwendig ist. Folgende Firmen haben bereits Updates veröffentlicht:

American Megatrends International (AMI)
ASRock
ASUSTeK Computer
ATI Technologies (AMD)
Biostar
EVGA
Getac
GIGABYTE
Huawei
Insyde
Intel
Micro-Star International (MSI)
NVIDIA
Phoenix Technologies
Realtek Semiconductor
SuperMicro
Toshiba

Eclypsium möchte zu gegebener Zeit betroffene Hersteller und Treiber benennen. CPUS von Intel ab der Skylake-Generation können über Windows‘ HVCI-Funktion (Hypervisor-enforced Code Integrity) Treiber auf eine schwarze Liste setzen. In vielen Fällen muss der Nutzer jedoch selbst Hand anlegen – und Treiber manuell auf Updates überprüfen.

Microsoft sagt derweil, dass die Treiber-Lücke nur gefährlich werden kann, wenn ein Angreifer ohnehin schon Zugriff auf ein System erhalten hat. Das Unternehmen empfiehlt, über den Windows Defender bekannte Problem-Software und –Treiber zu blockieren. Unter Einstellungen, Windows Update und dann Windows-Sicherheit empfehlen die Redmonder, bei kompatiblen Geräten die Prüfung der Speicherintegrität zu aktivieren. Mehr Informationen gibt es im Blog-Eintrag von Eclypsium.