Defender

Die Schwachstelle steckt in Microsoft Defender und beruht auf einer fehlerhaften Auflösung von Verknüpfungen, bevor auf eine Datei zugegriffen wird – einem sogenannten Link-Following-Problem. Defender folgt dabei einem Verweis (etwa einem symbolischen Link), ohne ausreichend zu prüfen, wohin dieser tatsächlich zeigt. Ein Angreifer kann eine solche Verknüpfung gezielt so präparieren, dass eine an sich legitime Dateioperation des Schutzprogramms auf ein vom Angreifer gewähltes Ziel umgelenkt wird. Voraussetzung ist, dass der Angreifer bereits über ein gültiges Konto auf dem System verfügt und den Angriff lokal ausführt – aus der Ferne lässt sich die Lücke nicht ausnutzen. Gelingt der Angriff, kann er seine Rechte auf dem betroffenen System ausweiten und sich höhere Berechtigungen verschaffen, als ihm eigentlich zustehen. Da Defender selbst mit weitreichenden Systemrechten arbeitet, eignet sich gerade diese Komponente als Hebel für eine solche Rechteausweitung.