Windows: Zero-Day-Lücke bei der LNK-Anzeige

Die Zero-Day-Initiative (ZDI) von Trend Micro hat Informationen zu einer als hochriskant eingestuften Schwachstelle bei der Anzeige von Inhalten von LNK-Dateien veröffentlicht. Microsoft stuft die Lücke jedoch anders ein und plant keine Korrektur.

Es geht um ein Problem bei der Anzeige von Inhalten von Verknüpfungen, die in Windows von .lnk-Dateien dargestellt werden. Diese LNK-Dateien haben eine definierte Struktur, in der sich diverse weitere Informationen (Metadaten) einbetten lassen. Laut Schwachstellenbeschreibung der ZDI können Angreifer missbrauchen, dass die Windows-Benutzeroberfläche zur Anzeige von LNK-Dateien – was offenbar eine Unterseite im Datei-Eigenschaftsdialog von Windows meint –, gefährliche Inhalte nicht anzeigt. Dazu müssen bösartige Akteure in einer LNK-Datei Daten manipulieren, wodurch Inhalte dann unsichtbar bleiben (CVE-2025-9491 / noch kein EUVD, CVSS 7.0, Risiko „hoch„).

„Die Schwachstelle ermöglicht Angreifern aus dem Netz, beliebigen Code auf betroffenen Installationen von Microsoft Windows auszuführen. Benutzerinteraktion ist für den Missbrauch erforderlich, diese müssen eine bösartige Seite besuchen oder eine bösartige Datei öffnen“, schlussfolgert die ZDI. Potenzielle Opfer sehen die schädlichen Inhalte aufgrund des Sicherheitslecks nicht und führen daher die bösartige LNK-Datei arglos aus.

Uneinigkeit zur Einordnung

Laut ZDI stellte Microsoft sich auf den Standpunkt, dass die Sicherheitslücke nicht den Schweregrad für eine Behandlung erreicht. Auch nach etwa einem halben Jahr hin und her änderte Microsoft seine Meinung dazu nicht. Schließlich hat ZDI die Meldung veröffentlicht und jetzt auch einen CVE-Schwachstelleneintrag dazu herausgegeben.

LNK-Dateien kommen bei Angriffen öfter zum Einsatz. Etwa zur Installation einer Backdoor in einer Qemu-Linux-Emulation, die an einer bösartigen E-Mail angehängt wurde. Auch Schwachstellen in der LNK-Verarbeitung gibt es bereits länger. Schon vor 15 Jahren haben Kriminelle eine LNK-Lücke in Windows attackiert.

(dmk)