Home » Windows

Windows 7 Sicherheitslücke entdeckt

01.02.2009 5 Kommentare

Rafael Rivera hat ein vor kurzem ein Skript veröffentlicht, welches eine Windows 7 Sicherheitslücke demonstriert. Das Skript sendet Windows Tastaturbefehle, die den UAC-Konfigurationsdialog öffnet und um konfiguriert. Der Nutzer selber soll keine Warnhinweise erhalten und erhält lediglich die Aufforderung seinen Computer neu zu starten. In der deutschen Version der aktuellen Windows 7 Beta soll das Skript nur nach einer Modifikation funktionieren.

Tags: , , , , , , , , , ,

5 Kommentare »

  • nurfi :

    Interessant ist vor allem, dass das Skript ohne Administratorrechte und Privilegierung durch einen Anwender funktioniert.

    Microsoft ist übrigens noch der Meinung, dass es sich bei dieser Demonstration um keine Lücke handelt und es demnach auch nicht gefixt werden müsste…

  • Adrian Sauer (Autor) :

    Nurfi hast Du mal das Skript auf deinem Testsystem laufen lassen?

  • nurfi :

    Ja habe ich. :) Das Skript funktioniert aber nur, wenn das Benutzerkonto ein Admin-Konto ist. Bei einem Account mit eingeschränkten Rechten schaltet das Skript die UAC nicht ab.

  • Adrian Sauer (Autor) :

    Hast Du dazu noch nähere Informationen?

  • nurfi :

    So spektakulär ist das nicht. Man kann genau sehen, wie das Skript arbeitet, da es Benutzereingaben nachahmt. Wenn das Skript mit seiner Arbeit fertig ist, ist UAC deaktiviert.
    Wer sich das mal auf einem deutschen Windows 7 ansehen möchte, muss im Originalskript die Zeile WshShell.SendKeys(“change uac”) mit WshShell.SendKeys(”Benutzerkontensteuerung”) ersetzen.

    Microsoft will laut einem Bericht auf heise.de nun doch nachbessern und die Steuerung der Sicherheitsabfragen robuster gestalten.

Leave your response!

Add your comment below, or trackback from your own site. You can also subscribe to these comments via RSS.

Be nice. Keep it clean. Stay on topic. No spam.

You can use these tags:
<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>

This is a Gravatar-enabled weblog. To get your own globally-recognized-avatar, please register at Gravatar.