Mehrere Schwachstellen im Microsoft Wireless Display Adapter entdeckt

Mit dem Microsoft Wireless Display Adapter lassen sich Bild und Ton auf sehr einfache Weise auf Monitore mit HDMI-Eingang übertragen. Die Adapter können ohne Zusatzsoftware von aktuellen Windowssystemen genutzt werden, die Qualität ist sehr ordentlich, die Einbindung in eine IT-Infrastruktur ist nicht notwendig. In Summe ein ideales Produkt z. B. für den Einsatz in Besprechungsräumen.

Als Sicherheitselement gibt es die Möglichkeit, vor dem erstmaligen Verbinden eines neuen Geräts eine PIN anzuzeigen, die dann am Endgerät eingegeben werden muss. Zumindest für diesen Fall muss der Adapter aktiv und der entsprechende Bildschirm in Sichtweite sein.

Während eines Researchprojekts haben Mitarbeiter der secuvera GmbH den Adapter näher angesehen und dabei diverse Schwachstellen entdeckt. Microsoft wurde im März über die Schwachstellen informiert und hat zumindest eine Schwachstelle Anfang Juli durch ein Firmwareupdates behoben (CVE-2018-8306). Andere Schwachstellen sind grundsätzlicher Natur und bestehen prinzipbedingt weiterhin.

Die Schwachstellen erlauben es

beliebige Befehle auf dem Microsoft Wireless Display Adapter auszuführen,
Authentisierungsmerkmale umgehen und
eine „Evil-Twin“ Attack. D.h. ein Angreifer „gaukelt“ einem Nutzer den Microsoft Wireless Display Adapter vor und leitet die Bild- und Ton-Daten über sein eigenes Gerät auf den Bildschirm. Dabei kann er alle Inhalte sehen und mitschneiden. Das Opfer merkt davon nichts.

Alle technischen Details finden sich im Advisory secuvera-SA-2018-03.

Über die secuvera GmbH

Seit 1992 ist secuvera vom Bundesamt für Sicherheit in der Informationstechnik zertifizierte Prüfstelle. Gleichzeitig wurde die Beratung bei der Einführung und Aufrechterhaltung von Informationssicherheitsmanagementsystemen auf Basis von Standards ein wichtiges Standbein. Dies mündete in der erfolgreichen Prüfung zum BSI-zertifizierten Sicherheitsdienstleister IS-Revision/ Grundschutz.

Penetrationstests führt secuvera seit dem Jahr 2000 erfolgreich durch. Als zweites Unternehmen überhaupt ist secuvera für diesen Bereich ebenfalls BSI-zertifizierter IT-Sicherheitsdienstleister und unterstützt das OWASP German Chapter.

Bei den Zertifizierungen überprüft das BSI unabhängig die Zuverlässigkeit und Unabhängigkeit der Firma, als auch die Fachkompetenz der Mitarbeiter.

Firmenkontakt und Herausgeber der Meldung:

secuvera GmbH
Siedlerstr.22-24
71126 Gäufelden/Stuttgart
Telefon: +49 (7032) 9758-0
Telefax: +49 (7032) 9758-30
https://www.secuvera.de

Ansprechpartner:

Tobias Glemser
Geschäftsführer
Telefon: 07032/9758-15
E-Mail: tglemser@secuvera.de

Weiterführende Links

Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.