Remote Code Execution in Windows Bluetooth Service möglich

Am 14. März 2023 veröffentlichte Microsoft eine kritische Remote Code Execution Sicherheitslücke im Windows Bluetooth Service. Die Schwachstelle CVE-2023-24871 betrifft die Verarbeitung von Bluetooth Low Energy (BLE) Werbedaten im Windows Bluetooth-Stack. Angreifer können durch Manipulation der Werbedaten einen Intteger-Overflow auslösen, wodurch Daten außerhalb der vorgesehenen Puffergrenzen geschrieben werden. Dies ermöglicht es Angreifern, beliebigen Code auszuführen. Betroffen sind: Der Windows Bluetooth-Stack, einschließlich bthport.sys, Microsoft.Bluetooth.Service.dll, Windows.Internal.Service.dll und dafBth.dll.

Details zur Sicherheitslücke

• CVE-ID: CVE-2023-24871
• Schweregrad: Kritisch (CVSS v3 Basiswert: 8.8)
• Angriffsvektor: Angrenzend
• Angriffskomplexität: Niedrig
• Erforderliche Privilegien: Keine
• Benutzerinteraktion: Keine
• Auswirkungen: Hohe Vertraulichkeit, Integrität und Verfügbarkeit

Proof of Concept (PoC)

Der Sicherheitsforscher ynwarcs hat in einem Proof of Concept gezeigt, dass die Schwachstelle durch Überschreiten der maximal zulässigen Anzahl von Werbesektionen in einem BLE-Datenpaket ausgenutzt werden kann. Ein speziell gestaltetes Paket mit mehr als 255 “leeren” Sektionen kann den Überlauf verursachen. Die Forscher nutzten dies, um Speicherbereiche außerhalb des zugewiesenen Puffers zu überschreiben und somit Kontrolle über das System zu erlangen. Der Ablauf ist wie folgt:

1. Ein BLE-Werbedatenpaket wird erstellt, das 257 Sektionen enthält, von denen jede eine Länge von 1 Byte und einen ungültigen Typ von 0 hat.
2. Beim Parsen dieses Pakets tritt ein Ganzzahlüberlauf auf, wodurch der Speicher außerhalb der vorgesehenen Grenzen überschrieben wird.
3. Dieser Überlauf ermöglicht es, gezielt schädlichen Code in den Speicher zu schreiben und auszuführen.

Microsoft hat einen offiziellen Fix bereitgestellt, der die Schwachstelle behebt, indem die Anzahl der Werbesektionen auf maximal 255 beschränkt wird. Benutzer sollten sicherstellen, dass sie die neuesten Updates und Patches installiert haben, um diese Schwachstelle zu schließen.