CVE-2021-36934 ("HiveNightmare"): Erhöhte Privilegien durch laxe Zugriffsrechte auf SAM-Datenbank

Das Sicherheits­problem entstand durch eine unge­nügende Einschränkung der Zugriffsrechte auf mehrere System­dateien seit der Version 1809 von Windows 10. Betroffen scheint auch die Preview von Windows 11 zu sein.

Score von 7.8

Laut Beschreibung der Sicherheits­lücke wird das Risiko mit 7.8 aus 10 eingeschätzt. Problematisch ist vor allem, dass die erfor­derlichen Privilegien und die Komplexität eines Angriffs als niedrig gelten, zudem gibt es bereits funktions­fähigen Exploit-Code.

Noch nicht verfügbar hingegen ist ein Patch von Microsoft. Der Hersteller empfiehlt vorerst als Sofort­maßnahme, die Datei­berechtigungen manuell zu ändern.

Sofortmaßnahmen

Dazu ruft man

icacls %windir%\system32\config\*.* /inheritance:e

in einer Eingabe­aufforderung auf.

Startet man das Dienst­programm in PowerShell, dann muss man die Umgebungs­variable %windir% durch $env:windir ersetzen.

Schattenkopien löschen

Zusätzlich ist es notwendig, alle Schattenkopien auf dem System­laufwerk zu löschen. Ob überhaupt welche vorhanden sind, kann man mittels

vssadmin List Shadows /For=C:

herausfinden, wenn Windows auf c: installiert ist. Existieren solche Volume Shadow Copies, dann entfernt man sie mittels

vssadmin delete shadows /for=C:

Es liegt auf der Hand, dass man nach dem Löschen der Schatten­kopien keine Möglichkeit mehr hat, zu bisherigen Wiederher­stellungs­punkten zurück­zukehren. Die Maßnahme könnte auch Backup-Programme wie Microsofts Data Protection Manager (DPM) beeinträchtigen.