Windows Ancillary Function Driver for WinSock

Betroffen ist der Windows Ancillary Function Driver for WinSock, ein Treiber von Microsoft, der die Netzwerkfunktionen von Windows-Anwendungen auf Kernel-Ebene unterstützt. Der Fehler ist eine Use-after-free-Schwachstelle: Der Treiber greift auf Speicher zu, der bereits freigegeben wurde. Ein Angreifer, der sich bereits am System angemeldet hat, kann diesen Zustand gezielt herbeiführen und mit manipulierten Daten belegen, sodass der Kernel Code oder Zeiger verarbeitet, die der Angreifer kontrolliert. Dadurch lassen sich die eigenen Rechte lokal ausweiten – aus einem gewöhnlichen Benutzerkonto wird effektiv Systemzugriff mit den höchsten Berechtigungen. Ein Angriff über das Netz ist nicht möglich, es ist bereits ein lokaler Zugang nötig. Typischerweise dient eine solche Lücke als zweite Stufe eines Angriffs: Nachdem etwa über eine Phishing-Mail oder eine andere Lücke ein einfacher Benutzerzugang erlangt wurde, verschafft sie die vollständige Kontrolle über den Rechner.