News „SearchNightmare“: 0-Day-Exploit in der Windows-Suche nutzt Microsoft Word

[SVΞN]

Der 0-Day-Exploit „SearchNightmare“ ermöglicht das Ausführen von Malware über die Windows-Suche dank Microsoft Word mit System-Rechten. Eine schwere Schwachstelle im sogenannten URI-Handler „search-ms“ von Windows 7 bis Windows 11 kann vorerst nur mit Hilfe eines Workarounds über die Eingabeaufforderung eingedämmt werden.

Zur News: „SearchNightmare“: 0-Day-Exploit in der Windows-Suche nutzt Microsoft Word

 

[ghecko]

Oh cool, Windows 7 ist auch betroffen. Wird dort wohl auch nicht mehr gepatched.

 

[just_f]

Infizierte Dateien aus unbekannter Herkunft öffnen und dann wundern - da ist sicherlich noch weit mehr möglich...
Erst müssen doch auch noch die Makros usw. aktiviert werden wenn die Datei geöffnet wurde denke ich.

Das Microsoft Support Diagnostic Tool disablen ist aber eh nicht weiter schlimm mMn - welche Einschränkungen ergeben sich dadurch im "normal Betrieb"?

 

[Keylan]

....dank Microsoft Word mit System-Rechten.

Bei dem Stichwort stellen sich mir schon alle Zehnnägel auf. Wer hätte gedacht, das dies ein Problem werden könnte?

 

[DireWolf]

Und dann wird man schräg angeschaut wenn man sagt die Scheunentore bestehen seit Beginn. Nunja.

 

[Web-Schecki]

Die msdt-Lücke war laut Heise bereits seit dem 12. April bekannt, aber Microsoft war sich sicher, dass davon keine Gefahr ausgeht.
Bei denen willste doch gerne deine Software kaufen...

 

[derlorenz]

Both the MSDT and search-ms abuse examples are not new, initially disclosed by Benjamin Altpeter in 2020 in his thesis about Electron application security.

🙄

 

[Fliz]

Ich versuche schon seit gestern eine akzeptable Lösung zu finden, das Löschen von ms-search kann ja nicht die Lösung sein, es sind bestimmt auch noch andere Handler betroffen..

 

[Chris_S04]

Achja immer wieder schön solche Lücken, dann schön per Client Management oder GPO auf alle Clients den Workaround ausrollen, weil es keine Patches dafür gibt und wenn, dann kommt der sowieso frühestens erst in ein paar Tagen mit den Juni-Updates und die will man als Admin nicht direkt einspielen, weil man ja traditionell erst Mal die Patches der Patches abwarten will, weil sicher wieder was kaputt geht mit den eigentlichen Juni-Updates.
Aber die Patches der Patches werden dann auch wieder nicht per WSUS bereitgestellt, weil das zu einfach wäre, da muss man erst Mal selbst den Update Catalog bemühen und die Updates manuell in den WSUS einpflegen.

Ich hab immer mehr Spaß mit Microsoft
Die Linux Systeme sind aber auch schnarchlangweilig. Die setzt man einfach auf, konfiguriert automatische Security only Updates und die Dinger stehen rum und tun, da kann man auch Mal vergessen, dass es die gibt...voll langweilig

Edit: Rechtschreibfehler der Tastatur aufgespürt und korrigiert

 

[Termy]

Erst müssen doch auch noch die Makros usw. aktiviert werden wenn die Datei geöffnet wurde denke ich.

Da es durch OLE-Objekte läuft wird wohl kein Makro nötig sein - ohne mich jetzt detailliert damit auseinander gesetzt zu haben ^^

 

[Rickmer]

Erst müssen doch auch noch die Makros usw. aktiviert werden wenn die Datei geöffnet wurde denke ich.

Nö, das nicht.
Aber die aufgerufene Exe (oder was auch immer) muss der User noch anklicken - zumindestens aktuell.

Ich befürchte allerdings, dass es nur eine Frage der Zeit ist bis ein Angreifer auf eine clevere Idee kommt um die benötigte User-Interaktion zu umgehen, wie auch immer das dann aussehen wird. Vielleicht eine andere Schwachstelle aufrufen oder einen Autorun ausnutzen oder was weiß ich, ich bin kein Sicherheitsforscher.

 

[mojitomay]

Das einzige, dass ich zu diesem Fehler weiß habe ich hier raus:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Und ich bin froh, dass ich mich mit dem Problem nicht herumschlagen muss, danke Linux.

 

[Zynicus]

Was ich da nicht ganz herauslese, muß ich Word installiert haben, oder reicht es allgemein, ein Word-Dokument öffnen zu wollen? Was passiert auf Rechnern, auf denen bspw. nur LibreOffice installiert ist?

 

[Vexz]

Weil es noch fehlt: "Mit Linux wäre das nicht passiert."
Das sage ich übrigens nur aus Hohn, weil diese Aussage jedes Mal bei solchen Nachrichten fällt, als wäre unter Linux alles besser.

Aber jetzt zum Thema:
Man ist also sicher, wenn man kein MS-Office installiert hat. Habe ich das richtig verstanden?

 

[Fliz]

Weil es noch fehlt: "Mit Linux wäre das nicht passiert."
Das sage ich übrigens nur aus Hohn, weil diese Aussage jedes Mal bei solchen Nachrichten fällt, als wäre unter Linux alles besser.

Die Liste der Sicherheitslücken ist aktuell unter Linux länger als bei Windows.. Das Gras ist da nicht wirklich grüner..

 

[Axxid]

@Vexz : zu langsam, da waren schon zwei schneller als du. Wer hätte es gedacht….

Auf der einen Seite natürlich gefährlich. Auf der anderen Seite frage ich mich inwieweit man damit hauptsächlich die “ich öffne jede Datei und klicke alle Fenster einfach mal weg”-User abgrast.
Immerhin können sie hier danach behaupten “gehackt” worden zu sein.

 

[konkretor]

Bei der genannte Folina Lücke, hat Microsoft die Meldung beim ersten mal geschlossen es sei nicht wichtig. Dabei ist Folina der Gau

Mehr zu Folina gibt es hier
https://www.borncity.com/blog/2022/...22-30190-warnungen-erste-angriffe-der-status/


https://www.borncity.com/blog/2022/...lina-schwachstelle-cve-2022-30190-in-windows/

Hier die Firma bietet schon Patches an für Ältere Systeme
https://0patch.com/


Hier geht es zur aktuelle Lücke


https://www.borncity.com/blog/2022/...ms-uri-handler-0-day-exploit-mit-office-2019/


Wer mit Confluence unterwegs ist sollte ebenso aufpassen


https://www.borncity.com/blog/2022/...-2022-26134-in-atlassian-confluence-software/

 

[nutzername]

@SVΞN
"und weißt noch einmal ganz deutlich darauf hin,"
-> und weist noch einmal

 

[M@tze]

@konkretor Danke für die Links und speziell den Hinweis auf Confluence. Ich habe es sicherheitshalber mal an unser Atlassian Support Team weitergeleitet.

 

[ameisenbaer]

Das "search-ms"-Problem wird doch bereits in der Bachelor -Arbeit von Benjamin Altpeter aus dem Jahre 2020 erwähnt (Seite 29):

https://benjamin-altpeter.de/doc/thesis-electron.pdf