Anzeige
Anzeige

Am Puls von Microsoft

Anzeige

Microsoft warnt vor Sicherheitslücke im Surface Pro 3 – möglicherweise weitere Hersteller betroffen

DrWindows

DrWindows

Redaktion
Microsoft warnt vor Sicherheitslücke im Surface Pro 3 – möglicherweise weitere Hersteller betroffen
von Martin Geuß
Surface Pro 3


Microsoft hat eine Sicherheitslücke dokumentiert, die das Surface Pro 3 und möglicherweise auch Geräte anderer Hersteller betrifft, die ein ähnliches BIOS besitzen. Wird die Lücke erfolgreich ausgenutzt, kann sich ein kompromittiertes Gerät gegenüber der Integritätsprüfung „Device Health Attestation“ als vertrauenswürdig ausgeben.

Entdeckt wurde die Schwachstelle vom Google-Sicherheitsexperten Chris Fenner, Microsoft hat sie geprüft und anschließend den Sicherheitshinweis CVE-2021-42299 veröffentlicht. Bleepingcomputer (via Winfuture) hatte zunächst berichtet, dass es bereits einen Patch gibt, das ist allerdings nicht der Fall.

Die Lücke steckt in der Komponente Platform Configuration Registers (PCRs), die den sicheren Start von Windows überwacht. Dieser verhindert, dass sich Schadsoftware bereits vor dem eigentlichen Start des Betriebssystems aktivieren kann. Bei einem erfolgreichen Angriff können beliebige Werte in die PCR-Datenbank geschrieben werden, ein eigentlich kompromittiertes Gerät weist sich somit als abgesichert aus.

Aktive Angriffe sind nicht bekannt, laut Microsoft ist der Vorgang komplex und es ist physischer Zugang zu dem Gerät notwendig, um die Lücke erfolgreich ausnutzen. Das Risiko, dass die Lücke tatsächlich ausgenutzt wird, stuft Microsoft daher als gering ein. Nichtsdestotrotz hat man andere Hersteller informiert, die ein ähnliches BIOS verwenden. Alle Folgegenerationen des Surface Pro sind von diesem Problem nicht betroffen.

Ob und wann es ein Firmware-Update geben wird, ist derzeit noch nicht bekannt.


Hinweis: Der Artikel wird möglicherweise nicht vollständig angezeigt, eingebettete Medien sind in dieser Vorschau beispielsweise nicht zu sehen.

Artikel im Blog lesen
 
Anzeige
Das wäre ja nicht das einzige nötige Update (oder der einzige Patch) der zur Zeit in der Luft hängt. Für den 19. war eins für Windows 11 avisiert. Warum auch immer hat MS das nicht ausgegeben. Hier ist dieselbe Situation, das MS einen avisierten Patch wohl überhaupt nicht in der Pipeline hat. Irgendwie wirkt das alles. als ob MS da etwas zuviel gleichzeitig in der (allerwichtigsten) Bearbeitung hätte. 21H2 dreht auch Ehrenrunden, das drängelt aber nicht so.
You ...?
 
Tkmopped - weiß nicht was dein Bezug zur obigen Meldung sein soll.

Microsoft informiert ordnungsgemäß über eine Security Threat und darüber wie der Attack Vector aussieht. Damit man auch ohne derzeitigen Fix, die Angriffsfläche gering halten kann.

Die Entwicklung firmwarebasierter Sicherheit bei Bekanntwerden von möglichen Sicherheitsproblemen und allgemeine OS patches sind zwei völlig unterschiedliche paar Schuhe und garantiert auch völlig unterschiedliche Teams.

Bei allem Verständnis über Unmut bei Bugs, Issues usw. Aber dieses undifferenzierte Fingerpointing ist für mich völlig unverständlich und bar jeder Realität wie Systeme in ihrem Lebenszyklus gewartet werden können.
 
Es treten halt gerade gehäuft irgendwelche Inkontinenzen auf, die Microsoft derzeit wohl überlasten. Was anderes steht bei mir nicht oben.

Es bleibt dir unbenommen das anders einzuschätzen.
Das sowas nervt steht außer Frage. Vor allem ist es nicht Microsoft das diesen Fehler gefunden hat. Normalerweise wird über einen Angriffsvektor erst öffentlich informiert, wenn dafür ein Patch wenigstens zur Verfügung steht. Das andere wäre noch ein Workaround für laufende Systeme, bis Patches eingespielt werden können.
Als zeitlichen Rahmen werden idR. 90 Tage Differenz, vom Erkennen bis zur Veröffentlichung der Schwachstelle eingeräumt. Damit wird , hier MS, die Zeit gegeben diesen Fehler zu begutachten und zu bereinigen. Das wären also drei Monate, die MS dieses schon bekannt gewesen wäre.
Ich finde es bemerkenswert, das hier dieselben Sicherheitsfunktionen umgangen werden können, die MS als Essentiell für Windows 11 voraussetzt. Man braucht physischen Zugriff und komplex ist es auch. Aber eben nicht unmöglich auch an Bitlocker verschlüsselte Laufwerke heranzukommen. Von Authentifizierungen in Netzwerken gar nicht anfangen zu wollen. Betrifft alles kaum den Home User, keine Frage.
Lies mal was Microsoft schreibt das dein Gerät nicht angreifbar wird. Lustig
Auf Deutsch steht da : Uffbasse!
 
Super! Dann ist die Hauptplatine von meinem Surface Pro 3 also nicht nur defekt (Tauschgerät), sondern auch noch unsicher...
 
Nun mal etwas OnTopic: ich habe ein SP3 (HiEnd) aus 2014 als 2. / 3. Gerät, kürzlich auf Windows 11 upgraded. Läuft ohne Probleme unter Windows 11. Da man, um diesen BIOS / UEFI Bug auszunutzen, physischen Zugang zum Gerät benötigt, mache ich mir mal keine allzugroßen Sorgen. Bin aber trotzdem gespannt ob da ein Update kommt.
 
tkmopped schrieb:
Als zeitlichen Rahmen werden idR. 90 Tage Differenz, vom Erkennen bis zur Veröffentlichung der Schwachstelle eingeräumt. Damit wird , hier MS, die Zeit gegeben diesen Fehler zu begutachten und zu bereinigen. Das wären also drei Monate, die MS dieses schon bekannt gewesen wäre
Zum Vergrößern anklicken....
Würde dich das verwundern? Wäre nämlich nicht das erste mal. Und warum man bei Microsoft unbedingt wieder mal auf so on the Fly entschlüsselten Mist wie Bitlocker samt TPM setzt wissen die in Redmond auch nur selber da sind die letzten 20 Jahre an Hackern aber massiv untergegangen. Denen ist nämlich nicht entgangen dass Microsoft seit Jahren den TPM Key unverschlüsselt zum Cmos laufen lässt.

Die die an deine Daten wollen kommen eh ran und die die deine Kiste für gewöhnlich Klauen sind denjenigen denen deine Daten wurscht sind die machen die Kiste einfach danach Platt von daher können die gerne mit so theoretischem Zeug hausieren denn egal was man macht die Daten sind in maximal einer Stunde weg, Kippen und Cola holen bereits mit eingerechnet
 
Das mit dieser Lücke ist auch nicht primär das, was mich nervt. Es ist dieser Angekündigte AMD-Patch, bei den Insidern läuft der unter kb5006746 , der für den 19. angekündigt war. Der war als optionales Update angekündigt. Gut, ist ne andere Baustelle und wohl auch ein anderes Team, letztendlich aber ist es Microsoft. Heute ist der 21. und AMD hat einen überarbeiteten Chipsatztreiber angekündigt. Schaumermal was passiert.

Übrigens steht fast wörtlich im Kommentar von Microsoft zu dem Fehler, das man sich um dessen physische Sicherheit bemühen solle. Setz dich drauf also, oder nagele den irgendwo an. Scherz
 
"Angekündigt" seitens Microsoft war gar nichts.
Die Info, dass der Patch für den 19. geplant war, kam von inoffizieller Stelle.
 
www.computerbase.de

Windows 11 Build 22000.258: Microsoft veröffentlicht das erste kumulative Update

Mit KB5006674 veröffentlicht Microsoft das erste kumulative Update für Windows 11 und hebt das Betriebssystem damit auf Build 22000.258 an.
www.computerbase.de www.computerbase.de
Stimmt , ist nicht direkt von Microsoft. Computerbase ist aber kaum als unseriöse Quelle zu bezeichnen. Folgt man der Quelle landetman hier
wccftech.com

AMD Ryzen CPU's L3 Latency Performance Fix To Be Resolved By Microsoft Through Windows 11 Update on 19th October, CPPC Driver on 21st

AMD will be issuing a fix to the performance degradation issues encountered with Ryzen CPUs in Microsoft's Windows 11 OS next week.
wccftech.com wccftech.com
Ich glaube nicht wirklich das die sich ihre News aus den Fingern saugen. Muß man ja auch nicht auswalzen bis zum gehtnichtmehr. Weil MS das bei den Insidern mit o.g. KB-Nummer ausgeliefert hat wäre das eigentlich schlüssig gewesen. Sie waren sich sicher das ausgeräumt zu haben. Eigentlich , den Kommentaren nach aber nicht mit grundlegendem Erfolg.
Normalerweise schaue ich nicht in mehreren Ebenen nach , ob solche Angaben stimmen. Ich les das und nehme das zur Kenntnis. Ich vertraue den Rechercheuren. Alles zu hinterfragen ist ja gerade Volkssport. Muß ich mir nicht geben.
In diesem Sinne, hoffen wir mal für meine Ryzen das beste..
 
ot:
Ich hab auch nicht "unseriös" gesagt, sondern "inoffiziell". Wir berichten ja auch oft genug Inoffizielles, obwohl wir hochgradig seriös sind *krawattezurechtrück* :D
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Anzeige
Oben