Windows

In Microsoft Windows sind die Zugriffsrechte (Access Control Lists) mehrerer Systemdateien zu weit gefasst – darunter die Datenbank des Security Accounts Manager (SAM), in der lokale Kontodaten und Passwort-Hashes liegen. Dadurch kann ein Benutzer mit einfachen Rechten diese Dateien lesen, sofern eine Schattenkopie des Systemlaufwerks über den Volume-Shadow-Copy-Dienst vorliegt – solche Kopien entstehen im Normalbetrieb etwa durch Wiederherstellungspunkte. Aus den ausgelesenen Anmeldeinformationen lässt sich eine Rechteausweitung bis zur SYSTEM-Ebene erreichen, also zu den höchsten Rechten des Betriebssystems. Damit kann der Angreifer beliebigen Code ausführen, Programme installieren, Daten einsehen, verändern oder löschen und neue Konten mit vollen Rechten anlegen. Voraussetzung ist, dass der Angreifer bereits Code auf dem Zielsystem ausführen kann; es handelt sich also um eine lokale Rechteausweitung. Wichtig: Das Einspielen des Updates allein genügt nicht – vorhandene Schattenkopien der Systemdateien müssen zusätzlich manuell entfernt werden.