Microsoft Security Bulletin MS06-011 - Hoch

• Ein Angreifer benötigt gültige Anmeldeinformationen, um diese Sicherheitsanfälligkeit ausnutzen zu können. Die Sicherheitsanfälligkeit kann nicht von anonymen Benutzern ausgenutzt werden.
• Bei vier der sechs genannten Dienste (NetBT, SCardSvr, DHCP, DnsCache) müsste ein Angreifer bereits in einem priviligierten Sicherheitskontext ausgeführt werden. Darüber hinaus besteht die Sicherheitsanfälligkeit bei zwei Diensten nur unter Windows XP Service Pack 1. Es handelt sich dabei um SSDPSRV und UPNPHost, die einem authentifizierten Benutzer den Angriff eines gefährdeten Systems ermöglichen.

Microsoft hat die folgenden Problemumgehungen getestet. Durch die genannten Problemumgehungen werden die standardmäßigen DACLs unter Windows XP Service Pack 1 und Windows Server in die unter Windows XP Service Pack 2 und Windows Server 2003 Service Pack 1 verwendeten DACLs mit erhöhter Sicherheit umgeändert. Sie gelten somit als vollständige Lösungen für dieses Problem. Da die empfohlenen Zugriffskontrollen nun schon seit einiger Zeit in den neuesten Betriebssystemen enthalten sind, werden sie als geringe Sicherheitsgefährdung eingestuft. Jede DACL-Änderung bringt jedoch ein gewisses Risiko der Inkompatibilität von Anwendungen einher.

• Verwenden des Befehls „sc.exe“ zum Modifizieren der Zugriffssteuerung für die genannten Dienste:

  Hinweis: Zur Ausführung des Befehls sc.exe müssen Sie über die entsprechenden Berechtigungen verfügen. Dieser Befehl kann mit Hilfe eines Computerstartskripts oder eines SMS-Skripts ausgeführt werden. Durch Ausführen des Befehls wird die Sicherheit der DACLs auf die Sicherheitsstufe von Windows XP Service Pack 2 und Windows Server 2003 Service Pack 1 erhöht. Weitere Informationen über den Befehl sc.exe und die Vorgehensweise zum Einstellen von DACLs für Windows-Dienste finden Sie in der folgenden Microsoft-Produktdokumentation. Bei dieser Problemumgehung ist kein Neustart des Computers erforderlich.

  Führen Sie bei Windows XP Service Pack 1 die folgenden Befehle aus. Jeder Befehl ändert die DACL für den zugehörigen betroffenen Dienst.

  sc sdset ssdpsrv D:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPLORC;;;AU)(A;;RPWPDTRC;;;LS)

  sc sdset netbt D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCLCSWRPLOCRRC;;;NO)

  sc sdset upnphost
  D:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPLORC;;;AU)(A;;CCDCLCSWLOCRRC;;;LS)

  sc sdset scardsvr D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCLCSWRPWPDTLOCRRC;;;LS)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPLOCRRC;;;S-1-2-0)

  sc sdset dhcp D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)

  sc sdset dnscache D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)

  Führen Sie für Windows Server 2003 die folgenden Befehle aus: Jeder Befehl ändert die DACL für den zugehörigen betroffenen Dienst.

  sc sdset netbt D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCLCSWRPLOCRRC;;;NO)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

  sc sdset dhcp D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

  sc sdset dnscache D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

  Hinweis: Unter Windows Server 2003 sind NetBt, DnsCache und DHCP die einzigen identifizierten betroffenen Dienste. Im Szenario für Windows 2003 muss ein Angriff durch ein Mitglied der Gruppe der Netzwerkkonfigurations-Operatoren gestartet werden. Diese Gruppe ist standardmäßig leer.

  Auswirkung der Problemumgehung: Keine

• Verwenden von Gruppenrichtlinien zum Bereitstellen einer modifizierten Zugriffssteuerung für die genannten Dienste.

  Domänenadministratoren können mithilfe von Gruppenrichtlinien und Sicherheitsvorlagen modifizierte Zugriffskontrollen auf Systemen unter Windows XP Service Pack 1 bereitstellen. Weitere Informationen darüber, wie Sicherheitsvorlagen mithilfe der Gruppenrichtlinienfunktion implementiert werden, finden Sie im Microsoft Knowledge Base-Artikel 816585. Für diese Problemumgehung ist kein Neustart des Computers erforderlich.

  Verwenden Sie für Windows XP Service Pack 1 folgende Sicherheitsvorlage, um die Dienste Upnphost, SCardSvr, SSDPSRV, DnsCache und DHCP zu ändern.

  [Unicode]
  Unicode=yes
  [Version]
  signature="$CHICAGO$"
  Revision=1
  [Service General Setting]
  SSDPSRV,2,"D:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-32-549)(A;;CCLCSWRPLORC;;;AU)(A;;RPWPDTRC;;;S-1-5-19)"
  upnphost,2,"D:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-32-549)(A;;CCLCSWRPLORC;;;AU)(A;;CCDCLCSWLOCRRC;;;S-1-5-19)"
  scardsvr,2,"D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCLCSWRPWPDTLOCRRC;;;S-1-5-19)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-32-549)(A;;CCLCSWRPLOCRRC;;;S-1-2-0)"
  dhcp,2,"D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"
  dnscache,2,"D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"

  Verwenden Sie für Windows Server 2003 folgende Sicherheitsvorlage, um die Dienste DnsCache und DHCP zu ändern.

  [Unicode]
  Unicode=yes
  [Version]
  signature="$CHICAGO$"
  Revision=1
  [Service General Setting]
  dhcp,,"D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"
  dnscache,,"D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"

  Hinweis: Unter Windows XP Service Pack 1 und Windows Server 2003 können die DACLs für den NetBT-Dienst nicht mit dem Gruppenrichtlinienobjekt-Editor von Microsoft geändert werden. Deshalb ist die DACL-Änderung des NetBT-Dienstes nicht in der Sicherheitsvorlage für Windows Server 2003 enthalten.

  Hinweis: Unter Windows Server 2003 sind NetBT, DHCP und DnsCache die einzigen identifizierten betroffenen Dienste. Im Szenario für Windows Server 2003 muss ein Angriff durch ein Mitglied der Gruppe der Netzwerkkonfigurations-Operatoren gestartet werden. Diese Gruppe ist standardmäßig nicht besetzt und ihr werden selten Mitglieder hinzugefügt.

  Auswirkung der Problemumgehung: Neben der Anpassung der Dienst-DACLs an die von Windows XP Service Pack 2 wird der Starttyp für den betroffenen Dienst in der bereitgestellten Sicherheitsvorlage auf seine ursprüngliche Standardkonfiguration „Automatisch“ zurückgesetzt. Da Windows Server 2003 die Konfiguration der Starttypeinstellungen unterstützt, bleibt der Starttyp für Windows Server 2003 unverändert.

• Modifizieren der Windows-Registrierung zum Ändern der Zugriffssteuerung für die jeweiligen genannten Dienste.

  Die bevorzugte Methode zum Modifizieren von Diensten ist die Verwendung des Befehls sc.exe. Sie können jedoch auch den folgenden Befehl verwenden, um die Sicherheits-DACLs der betroffenen Dienste an die Stufe von Windows XP Service Pack 2 anzupassen. Benutzer sollten eine Sicherungskopie der Registrierung erstellen, bevor sie daran Änderungen vornehmen. Weitere Informationen zu Registrierungsskripts und zur Vorgehensweise für die Änderung der Windows-Registrierung finden Sie im Microsoft Knowledge Base-Artikel 214752.

  Modifizieren Sie unter Windows XP Service Pack 1 die folgenden Registrierungsschlüssel, um die betroffenen Standarddienste von Windows XP Service Pack 1 zu ändern.

  Für den SSDPSRV-Dienst:

  reg add HKLM\System\CurrentControlSet\Services\SSDPSRV\Security /v Security /t REG_BINARY /d _
  01001480bc000000c8000000140000003000000002001c000100000002801400ff010f00010100000000000100000_
  00002008c000600000000001400ff010f0001010000000000051200000000001800ff010f00010200000000000520_
  0000002002000000001800fd0102000102000000000005200000002302000000001800ff010f00010200000000000_
  52000000025020000000014009d00020001010000000000050b000000000014007000020001010000000000051300_
  0000010100000000000512000000010100000000000512000000

  Für den NetBT-Dienst:

  reg add HKLM\System\CurrentControlSet\Services\netbt\Security /v Security /t REG_BINARY /d _
  01001480e8000000f4000000140000003000000002001c000100000002801400ff010f00010100000000000100000_
  0000200b80008000000000014008d01020001010000000000050b000000000018009d010200010200000000000520_
  0000002302000000001800ff010f000102000000000005200000002002000000001800ff010f00010200000000000_
  5200000002502000000001400fd010200010100000000000512000000000014004000000001010000000000051300_
  00000000140040000000010100000000000514000000000018009d0102000102000000000005200000002c0200000_
  10100000000000512000000010100000000000512000000

  Für den UPnPHost-Dienst:

  reg add HKLM\System\CurrentControlSet\Services\upnphost\Security /v Security /t REG_BINARY /d _
  01001480bc000000c8000000140000003000000002001c000100000002801400ff010f00010100000000000100000_
  00002008c000600000000001400ff010f0001010000000000051200000000001800ff010f00010200000000000520_
  0000002002000000001800fd0102000102000000000005200000002302000000001800ff010f00010200000000000_
  52000000025020000000014009d00020001010000000000050b000000000014008f01020001010000000000051300_
  0000010100000000000512000000010100000000000512000000

  Für den ScardSvr-Dienst:

  reg add HKLM\System\CurrentControlSet\Services\scardsvr\Security /v Security /t REG_BINARY /d _
  01001480a4000000b0000000140000003000000002001c000100000002801400ff010f00010100000000000100000_
  000020074000500000000001400fd01020001010000000000051200000000001400fd010200010100000000000513_
  00000000001800ff010f000102000000000005200000002002000000001800ff010f0001020000000000052000000_
  025020000000014009d01020001010000000000020000000001010000000000051200000001010000000000051200_
  0000

  Für den DHCP-Dienst:

  reg add HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\dhcp\security /v Security /t REG_BINARY /d _
  01001480900000009C000000140000003000000002001C00010000002801400FF010F00010100000000000100000000020060000_
  4000000000014008D01020001010000000000050B00000000001800FD010200012000000000005200000002C02000000001800FF_
  010F00010200000000005200000002002000000001400FD010200010100000000000512000000101000000000005120000000101_
  00000000000512000000

  Für den DnsCache-Dienst:

  reg add HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\dnscache\security /v Security /t REG_BINARY /d_
  01001480A8000000B4000000140000003000000002001C00010000002801400FF010F00010100000000000100000000020078000500_
  0000000014008D01020001010000000000050B000000000018009D010200012000000000005200000002302000000001800FD010200_
  010200000000005200000002C02000000001800FF010F000102000000000005200000002002000000001400FD010200010100000000_
  00051200000001010000000000512000000010100000000000512000000

  Modifizieren Sie unter Windows Server 2003 die folgenden Registrierungsschlüssel, um den betroffenen Standarddienst von Windows 2003 zu ändern.

  Für den NetBT-Dienst:

  reg add HKLM\System\CurrentControlSet\Services\netbt\Security /v Security /t REG_BINARY /d _
  01001480e8000000f4000000140000003000000002001c000100000002801400ff010f00010100000000000100000_
  0000200b80008000000000014008d01020001010000000000050b000000000018009d010200010200000000000520_
  0000002302000000001800ff010f000102000000000005200000002002000000001800ff010f00010200000000000_
  5200000002502000000001400fd010200010100000000000512000000000014004000000001010000000000051300_
  00000000140040000000010100000000000514000000000018009d0102000102000000000005200000002c0200000_
  10100000000000512000000010100000000000512000000

  Für den DHCP-Dienst:

  reg add HKLM\System\CurrentControlSet\Services\dhcp\Security /v Security /t REG_BINARY /d _
  01001480900000009C000000140000003000000002001C00010000002801400FF010F000101000000000001000_
  000000200600004000000000014008D01020001010000000000050B00000000001800FD0102000020000000000_
  05200000002C02000000001800FF010F000102000000000005200000002002000000001400FD01020001010000_
  000000051200000010100000000000512000000010100000000000512000000

  Für den DnsCache-Dienst:

  reg add HKLM\System\CurrentControlSet\Services\dnscache\Security /v Security /t REG_BINARY /d _
  01001480900000009C000000140000003000000002001C00010000002801400FF010F000101000000000001000_
  000000200600004000000000014008D01020001010000000000050B00000000001800FD0102000020000000000_
  05200000002C02000000001800FF010F000102000000000005200000002002000000001400FD01020001010000_
  000000051200000010100000000000512000000010100000000000512000000

  Hinweis: Für diese Registrierungsschlüsselwerte wurde der Unterstrich (_) und ein Wagenrücklauf eingefügt, um das Lesen zu erleichtern. Entfernen Sie dieses Zeichen und diesen Wagenrücklauf, um den Befehl ordnungsgemäß auszuführen.

  Auswirkung der Problemumgehung: Zusätzlich zur Anpassung der Dienste-DACLs an die DACLs für Windows Server 2003 Service Pack 1 und Windows XP Service Pack 2 ist auch kein Neustart des Computers erforderlich.

Worin genau besteht diese Sicherheitsanfälligkeit?
Es handelt sich bei dieser Sicherheitsanfälligkeit um eine Erhöhung von Berechtigungen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Der Angreifer könnte die mit den betroffenen Diensten verbundene Standard-Binäranwendung ändern. Daraufhin könnte der Angreifer die Dienste anhalten und neu starten, um ein schädliches Programm oder eine schädliche Binäranwendung zu starten. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Unter Windows XP Service Pack 1 sind Berechtigungen auf den genannten Windows-Diensten standardmäßig auf eine Stufe gesetzt, bei der ein Benutzer mit geringen Berechtigungen die mit dem Dienst verbundenen Eigenschaften ändern kann. Unter Windows Server 2003 sind die Berechtigungen auf den genannten Diensten auf eine Stufe eingestellt, die es einem Benutzer der Gruppe der Netzwerkkonfigurations-Operatoren ermöglichen könnte, mit dem Dienst verbundene Eigenschaften zu ändern.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Durch Ändern des verknüpften Programms, das standardmäßig zur Ausführung eines genannten Dienstes verwendet wird, kann ein Benutzer mit geringen Berechtigungen Befehle und Programmdateien ausführen, die in der Regel höhere Berechtigungen erfordern.

Wer könnte diese Sicherheitsanfälligkeit ausnutzen?
Um diese Sicherheitsanfälligkeit auszunutzen, muss ein Angreifer über gültige Anmeldeinformationen für das betroffene System verfügen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?
Um diese Sicherheitsanfälligkeit auszunutzen, muss ein Angreifer, wie gesagt, zunächst über gültige Anmeldeinformationen für das betroffene System verfügen. Er könnte dann auf die betroffene Komponente zugreifen und eine Standardanwendung ausführen, mit der er die Sicherheitsanfälligkeit ausnutzen und komplette Kontrolle über das betroffene System erlangen kann.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Sowohl Arbeitsstationen als auch Server sind von dieser Sicherheitsanfälligkeit betroffen.

Sind Windows 98, Windows 98 Second Edition oder Windows Millennium Edition auf kritische Weise von dieser Sicherheitsanfälligkeit betroffen?
Nein. Windows 98, Windows 98 Second Edition und Windows Millennium Edition enthalten die betroffene Komponente nicht.

Ist Windows 2000 von dieser Sicherheitsanfälligkeit betroffen?
Bei identifizierten Szenarios handelt es sich um Mitglieder der administrativen Gruppe der Poweruser, die allerdings als vertrauenswürdige Benutzer mit umfassenden Berechtigungen und der Möglichkeit zum Ändern computerweiter Einstellungen ausgestattet sein sollten. Weitere Informationen über Rechte in Zusammenhang mit der administrativen Gruppe der Poweruser finden Sie im Microsoft Knowledge Base-Artikel 825069. Windows 2000 ist möglicherweise dafür anfällig, wenn der Anwendungscode Dritter installiert wurde, der Dienste mit einer uneingeschränkten Zugriffssteuerung hinzufügt.

Wie stelle ich fest, ob Drittanwendungen betroffen sind?
Die Benutzer werden aufgefordert, die Lieferanten von Drittsoftware zu kontaktieren, deren Produkte die Installation von Diensten erforderlich macht, um festzustellen, ob nicht standardmäßige Windows-Dienste betroffen sind. Softwareentwickler sollten den Microsoft Knowledge Base-Artikel 914392 durchlesen, um weitere Informationen und bewährte Methoden zum Installieren einer sicheren Zugriffssteuerung für Dienste zu erhalten.

Kann diese Sicherheitsanfälligkeit über das Internet ausgenutzt werden?
Nein. Ein Angreifer muss über gültige Anmeldeinformationen für das spezifische System, das angegriffen werden soll, verfügen.

Was bewirkt das Update?
Mit dem Update werden die standardmäßigen DACLs unter Windows XP Service Pack 1 und Windows Server in DACLs mit erhöhter Sicherheit geändert, die unter Windows XP Service Pack 2 und Windows Server 2003 Service Pack 1 verwendet werden.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Ja. Diese Sicherheitsanfälligkeit wurde veröffentlicht. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit CVE-2006-0023 zugewiesen.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zwar zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins Codebeispiele für ein Angriffskonzept vor, aber keine Informationen, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde.