PrintDemon: Eine 24 Jahre alte Schwachstelle bedroht(e) Windows

Es ist eher ungewöhnlich, dass wir über eine 24 Jahre alte Windows-Lücke berichten (müssen), aber eine nun entdeckte Schwachstelle betrifft alle Versionen des Betriebssystems seit Windows NT 4 - und diese Ausgabe wurde bereits 1996 veröffentlicht. Die PrintDemon genannte Lücke, die von den Sicherheitsforschern Alex Ionescu und Yarden Shafi entdeckt und publiziert wurde (via ZDNet), befindet sich im Windows Print Spooler. Das ist jene Komponente, die für das Management von Druckoperationen haupt­ver­ant­wort­lich ist.

Der Dienst kann unterschiedliche Operationen vornehmen: So kann er Daten an einen USB/Parallel-Anschluss senden und somit an einen physisch angeschlossenen Drucker. Außerdem kann darüber ein TCP-Port erreicht werden, um Daten an einen Netzwerk-Drucker zu senden. Die dritte Möglichkeit ist es, den Auftrag an eine lokale Datei zu schicken, damit kann man diesen für später speichern.

Local Privilege Escalation

Ionescu und Shafi haben aber einen Bug gefunden, der ausgenutzt werden kann, um die Funktionsweise des Windows Printer Spoolers zu kapern. Wer die Schwachstelle ausnutzt, der kann eine Hintertür schaffen, die permanent ist. Die gute Nachricht dabei ist, dass man diese Lücke nicht übers Internet ausnutzen kann, sondern einen lokalen Zugang zu einem Rechner braucht.

PrintDemon ist damit eine Schwachstelle, die als "Local Privilege Escalation" (LPE) bezeichnet wird. Damit muss sie zwar theoretisch lokal aktiviert werden, ist das aber einmal getan, dann hätte der Angreifer aber weitreichende Admin-Rechte.

Sorgen muss man keine haben: Denn die Veröffentlichung der Schwachstelle erfolgt nachdem diese bereits gepatcht wurde. Nutzer, die ein aktuelles Windows als Betriebssystem im Einsatz haben, sollten die vorgestern bereitgestellten Patches installieren - PrintDemon ist offiziell auch als CVE-2020-1048 bekannt und wurde mit dem gestrigen Patch Day angesprochen.