Labor zeigt Code Ausführung in Windows SFAPE Enklave (CVE-2026-83498) und Patch

Forscher der Doyensec-Firma haben im Labor gezeigt, dass es möglich ist, Code, der von einem Angreifer innerhalb eines Teils von Windows-Speicher gewählt wird, der versiegelt bleiben sollte, auch wenn der Rest des Systems beeinträchtigt wurde. Die betroffene Komponente ist eine VBS (Virtualization-Based Security)-Bibliothek, die von Microsofts Enhanced Phishing Protection Funktion - speziell der SFAPE.dll enclave - und Microsoft verwendet wird. Der Ausfall erscheint als CVE-2026-83498, wurde von Microsoft als "hebende Privilegien" mit kritischer Schwere beschrieben (CVSS 7.8) und nach dem Unternehmen nicht in realen Umgebungen ausgenutzt oder war öffentlich vor der Anordnung; Microsoft erkannte auch das gleiche Problem intern.

Aus technischer Sicht isoliert die VBS-Architektur signierte Buchhandlungen - enclaves - in einer Welt von größerem Vertrauen durch den Windows-Hyperviewer (VTL1 oder Isolierter Benutzermodus). Ein Systemprozess in der gewöhnlichen Welt (VTL0), wie LSASS.exe, der Anmeldeinformationen behandelt und wie SYSTEM läuft, kann die Enklave laden, aber nicht lesen oder ändern. Der Zweck ist es, kritische Geheimnisse zu schützen (z.B. Passwort hashes for anti-phishing protection), auch wenn ein Angreifer Privilegien im Kernel oder SYSTEM erhalten hat.

Was die Forscher bekamen, war keine entfernte Eingangstür, sondern eine Eskalation von innen: die Operation erfordert, dass lokale Code bereits mit geringem Zugriff auf die Ausrüstung und die Möglichkeit, die Enklave geladen von LSASS. Doyensec dokumentiert eine Kette von Kettenversagen: Ein zweiter Aufruf zur Initiative-Funktion bewirkt, dass die Enklave einen festen Fehlerwert von vier Bytes in einer durch den Aufrufprozess gesteuerten Richtung schreibt; dass der zweite Anruf eine Überprüfung überlässt, die die erste Invokation macht. Dieses Schreiben allein ist begrenzt, aber wenn es die Daten betrifft, die die Enklave verwendet, um ihren eigenen Speicher von dem des Hosts zu unterscheiden, die Sicherheitskontrollen aufhören zu arbeiten. Von dort aus ermöglicht ein Timing-Bug in einer anderen Funktion eine kontrollierte Löschung, die eine interne Suche umleitet, was zu Messwerten und Skripten führt, die es Ihnen ermöglichen, die Funktionstabelle zu ersetzen, die entscheidet, welcher Code die Enklave ausführen kann. Das endgültige Ergebnis von Doyensec ist die Ausführung des Codes, der vom Angreifer innerhalb der Enklave gewählt wird.

Es ist wichtig, bestätigte Tatsachen von Extrapolationen zu trennen: wird im Labor gezeigt, dass die anfällige Enklave manipuliert werden kann, um beliebigen Code auszuführen, und Microsoft und Doyensec stimmen zu, dass Mitigation diese Vektoren korrigiert. Es gibt keine öffentlichen Beweise für die Ausbeutung in realen Umgebungen oder der bewährten Passwortdiebstahl aus diesem Ausfall; Microsoft definiert Auswirkungen wie möglich Datenfiltration oder Code-Ausführung innerhalb der Enklave. Doyensecs Forschung behauptet auch nicht, Hashes von Benutzer-Passwörtern auf realen Geräten - das bleibt unbestätigt - zurückgewonnen zu haben, aber die Kontrolle der Enklave öffnet das theoretische Risiko, wenn mit anderen Angriffsbedingungen kombiniert.

Microsoft veröffentlichte die Korrektur in seinem kumulativen Update für Windows 11 (Versionen 24H2 und 25H2) am 8. September 2026 und, laut Doyensec, fügt die gepatchte Datei die vorerste Schreibrichtungsprüfung hinzu und härtet die von der Rassenbedingung betroffene Funktion aus. Darüber hinaus installiert das Update eine Richtlinie, die das Laden der alten und verletzlichen Version von SFAPE.dll verhindert, so dass aktualisierte Systeme nicht die unsichere Enklave ausführen. Es gibt kein separates alternatives Verfahren: Die empfohlene Aktion für alle Benutzer ist die Installation des entsprechenden Updates.

Es bleibt jedoch eine Lücke in der Gesamtabschwächungsstrategie: Windows hat keine globale Sperrliste für verwundbare Enklaven, ähnlich wie die, die es für Fahrer hält. Die im September angewendete Minderung blockiert nur die betroffene Version von SFAPE.dll; Doyensec warnt, dass andere signierte Enklaven mit bekannten Fehlern weiterhin geladen werden können - zum Beispiel eine Microsoft Edge Enklave mit CVE-2023-36880, die eine Lese- / Schreibunfähigkeit hatte, bleibt nach Doyensec erlaubt. Dieser Unterschied kann die Taktik öffnen, die als "Erziehung Ihrer eigenen verletzlichen Enklave" bekannt ist, in der ein Angreifer bewusst eine signierte, aber fehlerhafte Enklave lädt, um Code oder Daten vor Sicherheitswerkzeugen zu verstecken, eine Technik, die in früheren Industriearbeiten diskutiert wird.

Wer beeinflusst das? In der Praxis ist das größte Risiko für Umgebungen, in denen ein Angreifer Code mit Low-to-Medium-Privilegien auf der Zielmaschine ausführen kann - zum Beispiel durch eine lokale Explosion, einen schlecht konfigurierten Service oder physischen Zugriff - und wo LSASS oder andere privilegierte Prozess die verletzliche Enklave auffordert. Isolierte Geräte und Systeme ohne lokale Konten sind weniger wahrscheinlich objektiv, aber in Organisationen mit Benutzern, die lokale Erhebung mit relativer Leichtigkeit erreichen (später Phisings, schlechte RDP-Konfigurationen, oder Software, die Code Ausführung erlaubt), ist der Vektor relevant.

Spezifische und nachprüfbare Empfehlungen: in erster Linie das KB5124008 Update installieren oder die Windows-Update-Richtlinien, die Ihr Unternehmen verwendet; das ist die einzige Maßnahme, die von Microsoft angeboten wird, um diesen Fehler zu mindern. Überprüfen Sie den Aktualisierungsstatus auf Servern und Endpunkten unter Windows 11 24H2 / 25H2 und priorisieren Sie Maschinen mit administrativen Konten oder Diensten, die Enklaven laden. Für Geschäftsumgebungen, integrieren Sie den Patch in Ihren Patch-Management-Zyklus und bestätigen Sie die Anwesenheit der Richtlinie, die die alte Version von SFAPe.dll blockiert.

Weitere defensive Maßnahmen, die die Wahrscheinlichkeit und Wirkung solcher Angriffe verringern, umfassen die Begrenzung des privilegierten lokalen Zugriffs, die Beseitigung unnötiger Dienste, die die Codeausführung ermöglichen, die Anwendung des Prinzips der weniger privilegierten Nutzung und die Bereitstellung von EDR-Lösungen, die Lasten und Anrufe auf empfindliche Prozesse wie LSASS überwachen. Aktivierung und Aufrechterhaltung aktueller Virtualization-Based Security (HVCI) Abschwächung und Nutzung von Applikationszulassungen helfen, die Angriffsfläche zu reduzieren. Für kritische Geräte überprüfen Sie die geladenen Enklaven und Kontrastsignaturen und Versionen mit offiziellen Quellen nach dem Patch.

Schließlich ist es notwendig, zwei Fronten zu folgen: einerseits die Installation des Patches auf allen Endpunkten und Servern zu bestätigen; andererseits, die Hersteller zu drücken, um einen zentralisierten Verriegelungsmechanismus für fehlerhafte signierte Enklaven zu implementieren, wie es für Fahrer vorhanden ist, so dass "bringen Sie Ihre eigene verletzliche Enklave" Techniken nicht verfügbar sind. Für die technische Dokumentation über VBS und die Isolation der Enklaven hält Microsoft Material auf seinem Dokumentationsportal: https: / / learn.microsoft.com / en-us / windows / security / virtualization-based-security /. Die Doyensec-Forschung wird von der Firma veröffentlicht und steht auf ihrer Website als Referenz für Methodik und Analyse zur Verfügung: https: / / doyensec.com /.

Zusammenfassend: Die Erkenntnis zeigt, dass selbst in Schichten, die vor einem kompromittierten Kern Geheimnisse enthalten, logische und Synchronisationsfehler es dem Angreifer ermöglichen können, seine Anwesenheit zu skalieren und Code innerhalb dieser zuverlässigen Ebene zu verstecken. Mitigation existiert und muss dringend umgesetzt werden; offene Diskussion ist, wie andere unterzeichnete und verletzliche Enklaven künftig für ähnliche Betriebe zur Verfügung stehen können.