Hacker nutzen sie zusammen mit der kürzlich geschlossenen Zero-Day-Lücke in Chrome für zielgerichtete Angriffe. Google schließt nicht aus, dass sich der Windows-Bug auch mit Lücken in Browsern anderer Hersteller kombinieren lässt. Der Fehler steckt im Kerneltreiber Win32k.sys.

Die Zero-Day-Lücke in Chrome, die Google in der vergangenen Woche geschlossen hat, wurde offenbar zusammen mit einer zweiten ungepatchten Schwachstelle für zielgerichtete Angriffe genutzt. Sie steckt allerdings nicht im Google-Browser, sondern in Microsofts Betriebssystem Windows 7, wie das Unternehmen nun in einem Blogeintrag mitteilt.

Entdeckt wurden beide Anfälligkeiten am 27. Februar von Clement Lecigne, der für Googles Threat Analysis Group arbeitet. Die Angreifer setzten die Kombination aus Browser- und OS-Lücke ein, um Schadcode einzuschleusen und auszuführen.

Den Patch für Chrome hatte Google bereits am 1. März veröffentlicht. Allerdings war aus den Versionshinweisen für Chrome 72.0.3626.121 nicht zu entnehmen, dass es sich um eine Zero-Day-Lücke handelt und das Update infolgedessen unverzüglich installiert werden sollte. Stattdessen hieß es dort lediglich, es werde ein schwerwiegende Use-after-free-Bug in FileReader beseitigt. Diese Komponente des Browsers erlaubt es Websites und Webanwendungen, lokal gespeicherte Dateien zu lesen.

Am 5. März sah sich Google jedoch aus nicht näher bekannten Gründen veranlasst, auf den eigentlichen Schweregrad der Schwachstelle hinzuweisen, nämlich ihren aktiven Einsatz bei aktuellen Hackerangriffen. Details zu der Schwachstelle nannte des Unternehmen jedoch nicht.

Die liefert nun der gestern veröffentlichte Blogeintrag. Dazu gehört, dass der Fehler in Chrome zumindest derzeit mit einer Zero-Day-Lücke in Windows 7 kombiniert wird. Dabei soll es sich um einen Fehler im Kernel-Treiber Win32k.sys handeln, der eine nicht autorisierte Rechteausweitung erlaubt, wodurch es möglich ist, Schadcode außerhalb der Chrome-Sandbox auszuführen.

Google geht davon aus, dass sich diese Schwachstelle tatsächlich nur unter Windows 7 ausnutzen lässt. Neuere Windows-Versionen sollen durch einen besseren Exploit-Schutz nicht anfällig sein. „Bis jetzt ist uns nur eine aktive Ausnutzung gegenüber Windows-7-32-Bit-Systemen bekannt“, sagte Lecigne.

Man habe sich mit der Windows-Zero-Day-Lücke an die Öffentlichkeit gewandt, um Nutzern die Möglichkeit zu geben, sich vor Angriffen zu schützen. Es sei nicht ausgeschlossen, dass Angreifer die Schwachstelle auch mit Fehlern in anderen Browsern kombinierten.

Google weist zudem darauf hin, dass das seit 1. März verfügbare Chrome-Update erst nach einem Neustart des Browsers aktiv wird – die automatische Updatefunktion sorgt lediglich dafür, dass das Update heruntergeladen und installiert wird.

Ein Patch für die Lücke in Windows 7 soll bereits in Arbeit sein. Möglicherweise erscheint er schon am kommenden Dienstag zusammen mit den monatlichen Sicherheitsfixes für Windows.