Onderzoekers vinden kwetsbaarheden in uefi > onduidelijkheid

[Eagle Creek]

Onder Windows 8 moet een aanvaller wel administrator-rechten hebben om de kwetsbaarheden te kunnen misbruiken, maar daarvoor zou een andere kwetsbaarheid kunnen worden misbruikt. Zo dook onlangs nog een Windows-kwetsbaarheid op die aanvallers via Office-objecten eigen code laat injecteren; als een gebruiker als administrator is ingelogd, wordt die code als beheerder uitgevoerd.

Wat staat hier nu precies?

- Voor de kwetsbaarheid zijn admin rechten nodig.
- Voor die admin rechten (om die te krijgen?) kan een andere kwetsbaarheid worden gebruikt.
- Namelijk (voorbeeld?): een andere kwetsbaarheid die via Office te benutten is.
-- Maar de gebruiker moet als administrator zijn ingelogd


Dus uhm... dan kun je die andere kwetsbaarheid daar toch niet voor gebruiken? De gebruiker is in dat scenario immers al als administrator ingelogd en de genoemde uefi-kwetsbaarheid heeft dan geen stepping stone meer nodig.

In het artikel lijkt nu een alternatief genoemd te worden, wat dus geen alternatief is.

[Joost]

Eagle Creek schreef op donderdag 23 oktober 2014 @ 08:37:
[...]
Dus uhm... dan kun je die andere kwetsbaarheid daar toch niet voor gebruiken? De gebruiker is in dat scenario immers al als administrator ingelogd en de genoemde uefi-kwetsbaarheid heeft dan geen stepping stone meer nodig.

In het artikel lijkt nu een alternatief genoemd te worden, wat dus geen alternatief is.

Jawel. Want normaliter krijg je als administrator een uac-popup die je waarschuwt, maar dat is bij deze kwetsbaarheid dus niet zo.

[Verwijderd]

Ik vraag me af of dat ook nog geldt wanneer je UAC op het hoogste niveau hebt staan. (Zoals in Vista, en niet zoals in Win7...) Er bestaat immers eigenlijk helemaal geen administrator meer. Alleen andere UAC levels.

[Eagle Creek]

Joost schreef op donderdag 23 oktober 2014 @ 08:46:
[...]


Jawel. Want normaliter krijg je als administrator een uac-popup die je waarschuwt, maar dat is bij deze kwetsbaarheid dus niet zo.

Maar dat komt in het bericht zoals het nu omschreven is geheel niet naar voren.
Daar wordt uitsluitend gesproken over administrator-rechten.

Zoals het er nu staat kan een gebruiker met beperkte rechten, d.m.v. de genoemde Office-kwetsbaarheid, toch vatbaar zijn voor deze kwetsbaarheid.

Dat is dus niet zo: een gebruiker moet al over administrator-rechten beschikken, waarbij UAC dan nog aanvullend gepareerd kan worden.

Voor de UEFI kwetsbaarheid
- Dien je dus een gebruiker te hebben die inlogt met een account met administratorrechten;
Én
- Dient de gebruiker de UAC-melding te negeren;
OF
- Dient er een aanvullende kwetsbaarheid te zijn die in staat is de UAC-melding te omzeilen.