Sicherheitsleck in der UAC von Windows 7 gestopft

Feb

Abgelegt unter: Sicherheit

Vor wenigen Tagen war bekannt geworden, dass es in der aktuellen Betaversion von Windows 7 mit einem einfachen VBScript möglich ist, die Benutzerkontensteuerung auszuschalten (Bericht hier im Windowsblog).

Hintergrund für das Sicherheitsleck ist der unter Windows 7 auf mehr Anwenderfreundlichkeit getrimmte Dialog zur Konfiguration der UAC. Nach der Einführung dieses sehr sinnvollen Features mit Windows Vista waren immer wieder Beschwerden von Anwendern laut geworden, die sich von häufig aufpoppenden Sicherheitshinweisen “belästigt” fühlten.

Microsoft hatte ursprünglich bezweifelt, dass es sich dabei um eine “echte” Schwachstelle handelt. Die Redmonder begründeten ihre Ansicht mit der Feststellung, dass ein System bereits mit bösartigem Code infiziert sein müsse, um einem Angreifer den Zugriff auf die Benutzerkontensteuerung zu ermöglichen.

Offenbar hat man in der Zwischenzeit die tatsächliche Gefahr erkannt und lieÃŸ verlauten, die Schwachstelle in der User Account Control (UAC) von Windows 7 sei behoben worden. Allerdings habe man die Aktualisierung bislang lediglich in unveröffentlichte, nach dem Erscheinen öffentlichen Beta erarbeiteten, interne Testversionen implementiert.

Das Ende Januar erneut ins Licht der Ã–ffentlichkeit gerückte Sicherheitsproblem gehört zu den nicht mehr ganz neuen Schwierigkeiten der Vorabversionen von Windows 7.

Bereits im letzten Jahr hatten Sicherheitsexperten vor einer ähnlichen Lücke in der sogenannten PDC-Build von Seven gewarnt. Schon in der im Rahmen der Entwicklerkonferenz an die Teilnehmer ausgegebene frühe Testversion des künftigen Betriebssystems war es möglich, die Benutzerkontensteuerung zu umgehen (externer Link).

Die Redmonder Entwickler hatten damals versprochen, das Leck bis zur Freigabe der ersten öffentlichen Betaversion zu stopfen.

Kurz nach der Verfügbarkeit der Public Beta berichtete der Sicherheitsfachmann Rafael Rivera erneut über das noch immer vorhandene Problem (externer Link) und machte darauf aufmerksam, dass die Korrekturen offenbar gar nicht oder nur unzureichend vorgenommen worden seien. Ob die darauf von Microsoft noch einmal vorgenommenen und heute verkündeten Veränderungen der UAC tatsächlich von Erfolg gekrönt sind, wird die Ã–ffentlichkeit frühestens erst mit dem Erscheinen des Release Candidate überprüfen können.