Lücke in Virtual PC kann gefährlich sein Detail - Computerwelt

Computerwelt: Aktuelle IT-News Österreich


18.03.2010 Frank Ziemann*

Lücke in Virtual PC kann gefährlich sein

In Microsofts Virtualisierungslösung Virtual PC steckt ein Fehler, der das Ausnutzen weiterer Sicherheitslücken ermöglichen kann. Ob dies für sich genommen schon eine Sicherheitslücke darstellt, ist umstritten.

Neuere Windows-Versionen kommen mit einer Reihe von Schutzfunktionen, die das Ausnutzen von Sicherheitslücken erschweren sollen, etwa DEP und ASLR. Doch mit Hilfe eines Fehlers in Virtual PC können solche Schutzmechanismen umgangen werden, wenn der schädliche Code in einer virtuellen Maschine ausgeführt wird. Microsoft sieht dies jedoch nicht als Sicherheitslücke an.

Das Sicherheitsunternehmen Core Security hat bereits im August 2009 eine Schwachstelle in Virtual PC entdeckt und an Microsoft gemeldet. Nachdem Microsoft befunden hat, dies sei keine Sicherheitslücke, die man beim monatlichen Patch Day mit einem Security Bulletin würdigen wolle, geht Core damit nun an die Öffentlichkeit.

Einig sind sich Core Security und Microsoft über die technischen Implikationen des Fehlers. Virtual PC räumt Prozessen allzu großzügige Zugriffsrechte auf Speicherbereiche jenseits von 2 GB ein. Dadurch lassen sich Schutzmechanismen wie DEP (Data Execution Prevention) und ASLR (Address Space Layout Randomization) aushebeln. DEP & Co. können dann nicht verhindern, dass Exploit-Code eine Sicherheitslücke in einem Programm ausnutzt, das in der virtuellen Maschine gestartet wird.

Würde der gleiche Vorgang dagegen direkt im Host-System ausgeführt, auf dem Virtual PC läuft, könnte DEP die Ausnutzung der Sicherheitslücke (zum Beispiel im Browser) verhindern. So kann etwa ein Exploit eine Schwachstelle ausnutzen, wenn der Angriffs-Code im virtuellen XP-Modus von Windows 7 auf die anfällige Anwendung losgelassen wird, während er direkt unter Windows 7 scheitern würde.

Nach Lesart von Microsoft ist dieser Fehler in Virtual PC für sich genommen keine Sicherheitslücke, weil erst eine ausnutzbare Schwachstelle in einer anderen Software, die in Virtual PC ausgeführt wird, ein Risiko darstellt. Deshalb will Microsoft den Fehler erst in einem zukünftigen Service Pack oder in neuen Versionen von Virtual PC beseitigen. Betroffen sind nach Angaben von Core Security Virtual PC 2007, Virtual Server 2005 sowie Windows Virtual PC, der virtuelle XP-Modus von Windows 7. Nicht betroffen sind Virtualisierungslösungen auf Basis von Hyper-V.

* Frank Ziemann ist Redakteur der deutschen PC-Welt.

Diesen Artikel

Bewertung:

Übermittlung Ihrer Stimme...
Noch nicht bewertet. Seien Sie der Erste, der diesen Artikel bewertet!
Klicken Sie auf den Bewertungsbalken, um diesen Artikel zu bewerten.
  Sponsored Links:

IT-News täglich per Newsletter

E-Mail:
Weitere CW-Newsletter

CW Premium Zugang

Whitepaper und Printausgabe lesen.  

kostenlos registrieren

Aktuelle Praxisreports

(c) FotoliaHunderte Berichte über IKT Projekte aus Österreich. Suchen Sie nach Unternehmen oder Lösungen.

Zum Thema

  • free-com solutions gmbh

    free-com solutions gmbh Werbewirtschaft, Wasser- und Energieversorgung, Vereine und Verbände, Umweltschutz, Touristik, Personenverkehr, Öffentliche Verwaltung,... mehr
  • Fabasoft AG

    Fabasoft AG Vereine und Verbände, Öffentliche Verwaltung, Medizin und Gesundheitswesen, Luft- und Raumfahrttechnik, Freie Berufe, Finanzdienstleistungen, Qualitätssicherung,... mehr
  • MIC – managing international customs & trade compliance

    MIC – managing international customs & trade compliance Supply Chain Management, Kaufmännische Software (ERP), Expertensysteme, E-Procurement und Supply Chain Management, B2B Dienste und Lösungen mehr
  • NAVAX Unternehmensgruppe

    NAVAX Unternehmensgruppe Wasser- und Energieversorgung, Vereine und Verbände, Öffentliche Verwaltung, Medizin und Gesundheitswesen, Maschinen- und Anlagenbau, Konsumgüterindustrie, Immobilien,... mehr

Hosted by:    Security Monitoring by: