Was ist passiert?
Sicherheitsforscher haben eine kritische Sicherheitslücke in Windows 11 entdeckt, die das Plug-and-Play-System (PnP) missbraucht. Angreifer können damit signierte Vendor-Software für emulierte USB-Geräte abrufen und privilegierte Installationskomponenten ausführen, um vollständige SYSTEM-Rechte zu erlangen. Die Schwachstelle funktioniert auch über Remote Desktop, wenn USB-Umleitung aktiviert ist.
Hintergrund & Bedeutung
Windows Plug and Play ist ein automatisches Erkennungs- und Installationssystem für Hardware-Geräte. Dieses vertraut standardmäßig auf signierte Treiber und Installationskomponenten von Herstellern. Die jetzt entdeckte Schwachstelle zeigt, dass dieser Vertrauensmechanismus ausgenutzt werden kann, um mit erhöhten Rechten beliebigen Code auszuführen – selbst auf vollständig gepatchten Systemen.
Das Risiko ist erheblich, da physischer USB-Zugriff nicht zwingend notwendig ist. Über RDP-Verbindungen mit aktivierter USB-Redirektion könnten Angreifer diese Lücke auch aus der Ferne ausnutzen.
Empfehlungen fuer IT-Teams
- USB-Redirektion prüfen: Deaktivieren Sie USB-Umleitung in Remote Desktop-Konfigurationen, wenn nicht erforderlich
- Plug-and-Play-Richtlinien: Erwägen Sie, die automatische Installation von Treibern über GPO einzuschränken
- Monitoring: Überwachen Sie ungewöhnliche PnP-Aktivitäten und Rechteeskalationen
- Updates abwarten: Implementieren Sie zeitnah Microsoft-Sicherheitsupdates
- Zugriffskontrolle: Beschränken Sie physischen USB-Zugang auf vertrauenswürdige Nutzer
Fazit
Diese Schwachstelle unterstreicht die Risiken automatischer Hardware-Installation unter hohen Rechten. IT-Teams sollten ihre PnP- und USB-Richtlinien sofort überprüfen und auf offizielle Patches warten.
Quelle: Original Artikel