entwickler.de

Das gestern von Microsoft außer der Reihe veröffentlichte Security Bulletin MS08-067 betrifft eine Schwachstelle im Server Service. Eine Pufferüberlauf-Schwachstelle im RPC-Service erlaubt aus der Ferne die Ausführung beliebigen Codes durch präparierte RPC-Requests. Betroffen sind Windows 2000 SP4, XP SP2/SP3, Server 2003, für die das Bulletin als kritisch eingestuft wird, sowie Vista, Vista SP1 und Server 2008, für die das Bulletin als wichtig eingestuft wird.

Laut Microsoft wird die Schwachstelle aktuell für gezielte Angriffe ausgenutzt, bisher ist aber kein öffentlich zugänglicher Exploit im Internet aufgetaucht. Sophos hat bereits einen Schädling gefunden, der die Schwachstelle zwar nicht zur Verbreitung ausnutzt, aber von Shellcode nachgeladen wird.

Im Security Vulnerability Research & Defense Blog gibt es ergänzende Informationen: More detail about MS08-067, the out-of-band netapi32.dll security update. Demnach kann die Schwachstelle unter Windows Server 2000, XP und Server 2003 ohne vorherige Authentifizierung ausgenutzt werden, für Windows Vista und Server 2008 ist eine Authentifizierung notwendig. Für einen Angriff auf Windows XP SP2, Vista und Server 2008 muss entweder die in der Defaulteinstellung aktivierte Firewall deaktiviert oder 'File and Printer Sharing' aktiviert sein. Welche Systeme und Konfigurationen wie stark gefährdet sind, verrät eine Tabelle in obigen Beitrag des Security Vulnerability Research & Defense Blog.

Unter Windows Vista und Server 2008 wird die Schwachstelle durch die Schutzmaßnahmen Address Space Layout Randomization (ASLR) und Data Execution Protection (DEP) zusätzlich erschwert, so dass Angriffe auf diese Systeme wahrscheinlich nur zu einem Denial-of-Service führen werden.

Im Blog von Sophos wird die Schwachstelle mit dem Sasser-Wurm von 2004 verglichen. Da die Schwachstelle laut Microsoft bereits für gezielte Angriffe ausgenutzt wird, sollte der Patch schnellstmöglich eingespielt werden - bevor ein Wurm versucht, sich darüber auszubreiten.

Carsten Eilers

Weiterführende Links:
Security aktuell: Schwachstelle im RPC-Service erlaubt Ausführung beliebigen Codes (MS08-067)