Local Privilege Escalation
Local Privilege Escalation bezeichnet eine Angriffstechnik, bei der ein Angreifer, der bereits Zugang zu einem Computer hat, sich dort höhere Rechte verschafft, als ihm eigentlich zustehen. Damit kann er das gesamte System übernehmen, obwohl er eigentlich nur ein eingeschränktes Benutzerkonto kontrolliert.
Jedes Betriebssystem teilt seine Benutzer in Stufen ein. Ein normaler Benutzer darf seine eigenen Dateien lesen und Programme starten. Ein Administrator — auf Linux oft « root » genannt — darf dagegen alles: Systemdateien verändern, andere Benutzer löschen, Sicherheitsprogramme abschalten. Local Privilege Escalation, kurz LPE, bezeichnet den Vorgang, bei dem jemand von einer niedrigen Stufe in eine höhere springt, ohne dafür die Erlaubnis des Systems zu haben. Der Angreifer ist also bereits auf dem Gerät — er hat schon irgendwie Zugang bekommen — und will nun mehr Kontrolle gewinnen. Der erste Schritt, wie er überhaupt auf das Gerät gelangte, ist dabei ein separates Problem.
Warum ein eingeschränktes Konto nicht sicher genug ist
Man könnte denken: Wenn ein Angreifer nur ein normales Benutzerkonto kontrolliert, ist der Schaden begrenzt. Das stimmt kurzfristig, aber nur selten dauerhaft. Ohne Adminrechte kann der Angreifer zum Beispiel keine Schadsoftware tief im System verankern, keine Antivirenprogramme deaktivieren und keine anderen Benutzerkonten auslesen. Genau deshalb ist LPE für Angreifer so wertvoll: Es ist der Schritt, der aus einem Teilerfolg einen vollständigen Systemkompromiss macht.
In Unternehmensnetzen ist das besonders kritisch. Dort hat oft ein einziger Administrator Kontrolle über Hunderte von Geräten. Wer dessen Rechte übernimmt, kann sich im gesamten Netzwerk ausbreiten. Sicherheitsteams richten deshalb das Prinzip der minimalen Rechte ein — jeder Nutzer und jeder Prozess bekommt nur so viele Rechte, wie er für seine Aufgabe braucht. Das verkleinert die Angriffsfläche, schließt LPE-Risiken aber nicht aus.
Wie Angreifer sich höhere Rechte erschleichen
Die häufigste Methode nutzt Schwachstellen im Betriebssystem oder in Treibern — also in der Software, die Hardware wie Grafikkarten oder Drucker steuert. Treiber laufen oft mit vollen Systemrechten, weil sie direkt mit der Hardware kommunizieren müssen. Enthält ein Treiber einen Programmierfehler, kann ein Angreifer diesen ausnutzen, um eigenen Code mit denselben hohen Rechten auszuführen. Ein bekanntes Beispiel ist die Windows-Schwachstelle CVE-2021-34527, bekannt als « PrintNightmare »: Ein Fehler im Druckertreiberdienst erlaubte normalen Benutzern, Code als Administrator auszuführen.
Eine andere Methode sind falsch gesetzte Dateiberechtigungen. Wenn ein Programm, das mit Adminrechten läuft, eine Konfigurationsdatei verwendet, die auch normale Benutzer verändern dürfen, kann ein Angreifer diese Datei manipulieren. Das Programm liest sie dann mit hohen Rechten — und führt dabei aus, was der Angreifer hineingeschrieben hat. Solche Fehler entstehen oft nicht durch schlechte Absicht, sondern durch Nachlässigkeit bei der Einrichtung.
Es gibt außerdem Token-Manipulationen: Windows vergibt sogenannte Access Tokens, also digitale Ausweise, die bestimmen, welche Rechte ein laufendes Programm hat. Bestimmte Schwachstellen erlauben es, einen solchen Ausweis zu kopieren oder zu fälschen — und so die Identität eines privilegierten Prozesses anzunehmen.
LPE in Sicherheitsmeldungen und realen Angriffen
LPE-Schwachstellen tauchen regelmäßig in Sicherheits-Updates auf. Microsoft, Apple und Linux-Distributoren veröffentlichen jeden Monat Patches — also Reparaturen — die unter anderem solche Lücken schließen. In den Bewertungen dieser Updates findet man häufig den Hinweis « Elevation of Privilege », der englische Oberbegriff für Rechteausweitung. Je nach Schwere bekommt eine solche Lücke auf der CVSS-Skala, einem Standard zur Bewertung von Sicherheitslücken von 0 bis 10, oft einen Wert zwischen 7 und 9.
In der Praxis sind LPE-Schwachstellen selten der erste Schritt eines Angriffs, aber fast immer der zweite. Ransomware — also Erpressungssoftware, die Daten verschlüsselt — braucht für ihre Wirksamkeit in der Regel Adminrechte. Angreifer kombinieren deshalb eine Schwachstelle, die ihnen initialen Zugang verschafft, mit einer LPE-Lücke, die ihnen volle Kontrolle gibt. Browser-Hersteller investieren außerdem stark darin, LPE-Angriffe aus sogenannten Sandboxen heraus zu verhindern — denn auch ein Browser-Tab, dem es gelingt, aus seiner isolierten Umgebung auszubrechen, braucht anschließend meist eine LPE, um dauerhaften Schaden anzurichten.