Der IT-Security-Forscher John Page hat zum zweiten Mal eine Sicherheitslücke im Windows Defender von Microsoft entdeckt. Er konnte damit eine Schutzkomponente gegen die Ausführung von Schadcode austricksen. John Page hatte bereits 2022 gezeigt, dass sich der Schutz mithilfe der rundll32.exe umgehen ließ.

Dazu hatte er bei der Referenzierung von mshtml beim Aufruf der rundll32.exe einen sogenannten Path Traversal missbraucht, was in diesem Fall ein zusätzlichen "..\" war. Damit wurde aus "rundll32.exe javascript:"\..\..\mshtml,RunHTMLApplication ";alert(1)" ein "rundll32.exe javascript:"\..\..\..\mshtml,RunHTMLApplication ";alert(666)". Diese Lücke hat Microsoft mittlerweile behoben.

Um den Windows Defender weiterhin auszutricksen, hat John Page hinter der Referenz von mshtml ein zusätzlichen Komma hinzugefügt. Dadurch wird aus der gezeigten Zeichenfolge ein "rundll32.exe javascript:"\..\..\mshtml,,RunHTMLApplication ";alert(666)" und schon wird die Ausführung von Schadcode nicht mehr unterbunden.

(jl, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE