Microsoft Security Bulletin MS10-020 - Kritisch

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Diese Denial-of-Service-Sicherheitsanfälligkeit ermöglicht einem Angreifer zwar keine Codeausführung oder Erhöhung von Benutzerberechtigungen, kann aber dazu führen, dass das betroffene System nicht mehr reagiert, bis es manuell neu gestartet wird.
• Mithilfe empfohlener Vorgehensweisen für die Firewall und standardisierten Firewallkonfigurationen können Netzwerke vor Remoteangriffen von außerhalb des Unternehmens geschützt werden. Eine bewährte Methode besteht darin, für Systeme, die mit dem Internet verbunden sind, nur eine minimale Anzahl von Ports zu öffnen. In diesem Fall sollten die SMB-Ports vom Internet blockiert werden.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Blockieren der TCP-Ports 139 und 445 an der Firewall:

  Diese Ports werden dazu verwendet, eine Verbindung mit der betroffenen Komponente zu initiieren. Das Blockieren der TCP-Ports 139 und 445 an der Firewall schützt Systeme hinter dieser Firewall vor Angriffen, die diese Sicherheitsanfälligkeit auszunutzen versuchen. Für diese Sicherheitsanfälligkeit sollten sowohl der eingehende als auch der ausgehende SMB-Datenverkehr blockiert werden, um die Anfälligkeit zu verringern. Microsoft empfiehlt das Blockieren der gesamten unerwünscht eingehenden Kommunikation aus dem Internet. So können Sie Angriffe verhindern, bei denen möglicherweise andere Ports verwendet werden. Weitere Informationen zu den Ports finden Sie im TechNet-Artikel TCP- und UDP-Portzuweisungen.

  Auswirkung der Problemumgehung: Mehrere Windows-Dienste verwenden die betroffenen Ports. Durch das Blockieren der Verbindung zu den Ports funktionieren verschiedene Anwendungen oder Dienste möglicherweise nicht mehr. Einige der möglicherweise betroffenen Anwendungen und Dienste werden im Folgenden aufgeführt.

  • Anwendungen, die SMB (CIFS) verwenden
  • Anwendungen, die Mailslots oder Named Pipes (RPC über SMB) verwenden
  • Server (Datei- und Druckerfreigabe)
  • Gruppenrichtlinie
  • Anmeldedienst
  • Distributed File System (DFS)
  • Terminal Server-Lizenzierung
  • Druckwarteschlange
  • Computerbrowser
  • Remote Procedure Call Locator
  • Faxdienst
  • Indexdienst
  • Leistungsprotokolle und Warnmeldungen
  • Systems Management Server
  • Lizenzprotokollierdienst

  So machen Sie die Problemumgehung rückgängig: Aufheben der Blockierung der TCP-Ports 139 und 445 an der Firewall. Weitere Informationen zu den Ports finden Sie unter TCP- und UDP-Portzuweisungen.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Es handelt sich bei dieser Sicherheitsanfälligkeit um einen Denial-of-Service-Angriff. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann bewirken, dass das betroffene System nicht mehr reagiert, bis es manuell neu gestartet wird. Beachten Sie, dass eine DoS-Sicherheitsanfälligkeit (Denial-of-Service) einem Angreifer keine Codeausführung oder Erhöhung von Benutzerberechtigungen ermöglicht, sondern dazu führt, dass das betroffene System nicht mehr reagiert, bis es manuell neu gestartet wird.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird dadurch verursacht, dass die Implementierung des Microsoft SMB-Clients (Server Message Block) unvollständige SMB-Antworten falsch verarbeitet.

Was ist das Microsoft SMB-Protokoll (Server Message Block)?  
Das Microsoft SMB-Protokoll (Server Message Block) ist ein Microsoft-Protokoll zur Dateifreigabe für Netzwerke, das in Microsoft Windows verwendet wird. Weitere Informationen zu SMB finden Sie im MSDN-Artikel „Microsoft SMB-Protokoll und CIFS-Protokoll – Übersicht“.

Was ist SMBv2 (Microsoft Server Message Block Version 2)?  
SMB (Server Message Block) ist das standardmäßig auf Windows-basierten Computern verwendete Protokoll zur Dateifreigabe. SMB Version 2.0 (SMBv2) ist ein Update für dieses Protokoll und wird nur auf Computern unterstützt, auf denen Windows Server 2008, Windows 7 und Windows Vista ausgeführt wird. SMBv2 kann nur verwendet werden, wenn es sowohl vom Client als auch vom Server unterstützt wird. Wenn entweder der Client oder der Server SMBv2 nicht unterstützen kann, wird stattdessen das SMB 1.0-Protokoll verwendet. Über die für Dateivorgänge zu verwendende Version des SMB-Protokolls wird während der Verhandlungsphase entschieden. Während der Verhandlungsphase kündigt ein Windows Vista-Client dem Server an, dass er das neue SMBv2-Protokoll verstehen kann. Wenn der Server (Windows Server 2008 oder höher) SMBv2 versteht, wird für die nachfolgende Kommunikation SMBv2 ausgewählt. Andernfalls verwenden Client und Server SMB 1.0 und arbeiten normal weiter. Weitere Informationen zu SMBv2 finden Sie im MSDN-Artikel SMB (Server Message Block) Version 2-Protokollspezifikation.

Was ist der Unterschied zwischen SMBv1 und SMBv2?  
Beide Protokolle werden von Clients verwendet, um über das Netzwerk Datei- und Druckdienste von einem Serversystem anzufordern. Beide sind zustandsbehaftete Protokolle, mit denen Clients eine Verbindung zu einem Server herstellen, einen authentifizierten Kontext für diese Verbindung einrichten und dann verschiedene Anforderungen für den Zugriff auf Dateien, Drucker und Named Pipes für die prozessübergreifende Kommunikation ausgeben können. Das SMBv2-Protokoll ist eine umfassende Überarbeitung des vorhandenen SMB-Protokolls. Obwohl viele der zugrunde liegenden Konzepte die gleichen sind, sind die Paketformate vollkommen unterschiedlich. Zusätzlich zu allen Funktionen von SMBv1 stellt das SMBv2-Protokoll mehrere Verbesserungen bereit:

• Ermöglichen der Wiederherstellung eines Open zu einer Datei, nachdem eine Clientverbindung vorübergehend unterbrochen wurde.
• Ermöglichen eines Ausgleichs der Anzahl gleichzeitiger Vorgänge, die für einen Client zu einem beliebigen Zeitpunkt ausstehend sein dürfen, durch den Server.
• Bereitstellen von Skalierbarkeit hinsichtlich der Anzahl von Freigaben, Benutzern und gleichzeitig geöffneten Dateien.
• Unterstützung symbolischer Verknüpfungen.
• Verwendung eines stärkeren Algorithmus zur Überprüfung der Integrität von Anforderungen und Antworten.

Welche Versionen von SMB sind von dieser Sicherheitsanfälligkeit betroffen?  
Diese Sicherheitsanfälligkeit betrifft sowohl SMBv1 als auch SMBv2.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann bewirken, dass das betroffene System nicht mehr reagiert, bis es neu gestartet wird.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann einen speziell gestalteten SMB-Server hosten, der zum Ausnutzen dieser Sicherheitsanfälligkeit entwickelt wurde, und dann einen Benutzer dazu verleiten, eine SMB-Verbindung zu ihm zu initiieren. Außerdem kann ein Angreifer im lokalen Netzwerk einen Man-in-the-Middle-Angriff durchführen, um mit einer fehlerhaften SMB-Antwort auf eine legitime SMB-Anforderung zu antworten.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Alle betroffenen Betriebssysteme sind gefährdet.

Kann diese Sicherheitsanfälligkeit mittels Internet Explorer ausgenutzt werden?  
Nein. Allerdings kann dieses Problem unabhängig vom Browsertyp mithilfe von Webtransaktionen ausgenutzt werden. In einem webbasierten Angriffsszenario müsste ein Angreifer eine Webseite hosten, die eine speziell gestaltete URI enthält. Ein Benutzer, der zu dieser Website navigiert ist, würde eine SMB-Verbindung zu einem vom Angreifer kontrollierten SMB-Server erzwingen, der dann an den Benutzer eine fehlerhafte Antwort zurücksenden würde. Diese Antwort würde dazu führen, dass das System der Benutzer nicht mehr reagiert. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Was ist eine URI?  
Ein Uniform Resource Identifier (URI) ist eine Zeichenfolge, mit der Ressourcen im Internet oder über ein Netzwerk identifiziert werden bzw. auf diese eingewirkt wird. Eine URL ist ein typisches Beispiel für eine URI, die auf eine Ressource wie eine Website verweist. Weitere Informationen zu URIs finden Sie unter RFC 2396.

Was bewirkt das Update?  
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der SMB-Client unvollständige SMB-Antworten verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Ja. Diese Sicherheitsanfälligkeit wurde veröffentlicht. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit CVE-2009-3676 zugewiesen.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Benutzer ausgenutzt wurde.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Mithilfe empfohlener Vorgehensweisen für die Firewall und standardisierten Firewallkonfigurationen können Netzwerke vor Remoteangriffen von außerhalb des Unternehmens geschützt werden. Eine bewährte Methode besteht darin, für Systeme, die mit dem Internet verbunden sind, nur eine minimale Anzahl von Ports zu öffnen. In diesem Fall sollten die SMB-Ports vom Internet blockiert werden.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Blockieren der TCP-Ports 139 und 445 an der Firewall:

  Diese Ports werden dazu verwendet, eine Verbindung mit der betroffenen Komponente zu initiieren. Das Blockieren der TCP-Ports 139 und 445 an der Firewall schützt Systeme hinter dieser Firewall vor Angriffen, die diese Sicherheitsanfälligkeit auszunutzen versuchen. Für diese Sicherheitsanfälligkeit sollten sowohl der eingehende als auch der ausgehende SMB-Datenverkehr blockiert werden, um die Anfälligkeit zu verringern. Microsoft empfiehlt das Blockieren der gesamten unerwünscht eingehenden Kommunikation aus dem Internet. So können Sie Angriffe verhindern, bei denen möglicherweise andere Ports verwendet werden. Weitere Informationen zu den Ports finden Sie im TechNet-Artikel TCP- und UDP-Portzuweisungen.

  Auswirkung der Problemumgehung: Mehrere Windows-Dienste verwenden die betroffenen Ports. Durch das Blockieren der Verbindung zu den Ports funktionieren verschiedene Anwendungen oder Dienste möglicherweise nicht mehr. Einige der möglicherweise betroffenen Anwendungen und Dienste werden im Folgenden aufgeführt.

  • Anwendungen, die SMB (CIFS) verwenden
  • Anwendungen, die Mailslots oder Named Pipes (RPC über SMB) verwenden
  • Server (Datei- und Druckerfreigabe)
  • Gruppenrichtlinie
  • Anmeldedienst
  • Distributed File System (DFS)
  • Terminal Server-Lizenzierung
  • Druckwarteschlange
  • Computerbrowser
  • Remote Procedure Call Locator
  • Faxdienst
  • Indexdienst
  • Leistungsprotokolle und Warnmeldungen
  • Systems Management Server
  • Lizenzprotokollierdienst

  So machen Sie die Problemumgehung rückgängig: Aufheben der Blockierung der TCP-Ports 139 und 445 an der Firewall. Weitere Informationen zu den Ports finden Sie unter TCP- und UDP-Portzuweisungen.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird dadurch verursacht, dass die Implementierung des Microsoft SMB-Clients (Server Message Block) Speicher beim Analysieren speziell gestalteter SMB-Antworten falsch zuteilt.

Was ist das Microsoft SMB-Protokoll (Server Message Block)?  
Das Microsoft SMB-Protokoll (Server Message Block) ist ein Microsoft-Protokoll zur Dateifreigabe für Netzwerke, das in Microsoft Windows verwendet wird. Weitere Informationen zu SMB finden Sie im MSDN-Artikel Microsoft SMB-Protokoll und CIFS-Protokoll – Übersicht.

Was ist SMBv2 (Microsoft Server Message Block Version 2)?  
SMB (Server Message Block) ist das standardmäßig auf Windows-basierten Computern verwendete Protokoll zur Dateifreigabe. SMB Version 2.0 (SMBv2) ist ein Update für dieses Protokoll und wird nur auf Computern unterstützt, auf denen Windows Server 2008, Windows 7 und Windows Vista ausgeführt wird. SMBv2 kann nur verwendet werden, wenn es sowohl vom Client als auch vom Server unterstützt wird. Wenn entweder der Client oder der Server SMBv2 nicht unterstützen kann, wird stattdessen das SMB 1.0-Protokoll verwendet. Über die für Dateivorgänge zu verwendende Version des SMB-Protokolls wird während der Verhandlungsphase entschieden. Während der Verhandlungsphase kündigt ein Windows Vista-Client dem Server an, dass er das neue SMBv2-Protokoll verstehen kann. Wenn der Server (Windows Server 2008 oder höher) SMBv2 versteht, wird für die nachfolgende Kommunikation SMBv2 ausgewählt. Andernfalls verwenden Client und Server SMB 1.0 und arbeiten normal weiter. Weitere Informationen zu SMBv2 finden Sie im MSDN-Artikel SMB (Server Message Block) Version 2-Protokollspezifikation.

Was ist der Unterschied zwischen SMBv1 und SMBv2?  
Beide Protokolle werden von Clients verwendet, um über das Netzwerk Datei- und Druckdienste von einem Serversystem anzufordern. Beide sind zustandsbehaftete Protokolle, mit denen Clients eine Verbindung zu einem Server herstellen, einen authentifizierten Kontext für diese Verbindung einrichten und dann verschiedene Anforderungen für den Zugriff auf Dateien, Drucker und Named Pipes für die prozessübergreifende Kommunikation ausgeben können. Das SMBv2-Protokoll ist eine umfassende Überarbeitung des vorhandenen SMB-Protokolls. Obwohl viele der zugrunde liegenden Konzepte die gleichen sind, sind die Paketformate vollkommen unterschiedlich. Zusätzlich zu allen Funktionen von SMBv1 stellt das SMBv2-Protokoll mehrere Verbesserungen bereit:

• Ermöglichen der Wiederherstellung eines Open zu einer Datei, nachdem eine Clientverbindung vorübergehend unterbrochen wurde.
• Ermöglichen eines Ausgleichs der Anzahl gleichzeitiger Vorgänge, die für einen Client zu einem beliebigen Zeitpunkt ausstehend sein dürfen, durch den Server.
• Bereitstellen von Skalierbarkeit hinsichtlich der Anzahl von Freigaben, Benutzern und gleichzeitig geöffneten Dateien.
• Unterstützung symbolischer Verknüpfungen.
• Verwendung eines stärkeren Algorithmus zur Überprüfung der Integrität von Anforderungen und Antworten.

Welche Versionen von SMB sind von dieser Sicherheitsanfälligkeit betroffen?  
Das in diesem CVE behandelte Problem betrifft sowohl SMBv1 als auch SMBv2.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Die meisten Versuche, diese Sicherheitsanfälligkeit auszunutzen, bewirken, dass ein betroffenes System nicht mehr reagiert und neu startet.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann einen speziell gestalteten SMB-Server hosten, der zum Ausnutzen dieser Sicherheitsanfälligkeit entwickelt wurde, und dann einen Benutzer dazu verleiten, eine SMB-Verbindung zu ihm zu initiieren. Außerdem kann ein Angreifer im lokalen Netzwerk einen Man-in-the-Middle-Angriff durchführen, um mit einer fehlerhaften SMB-Antwort auf eine legitime SMB-Anforderung zu antworten.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Alle betroffenen Betriebssysteme sind gefährdet.

Kann diese Sicherheitsanfälligkeit mittels Internet Explorer ausgenutzt werden?  
Nein. Allerdings kann dieses Problem unabhängig vom Browsertyp mithilfe von Webtransaktionen ausgenutzt werden. In einem webbasierten Angriffsszenario müsste ein Angreifer eine Webseite hosten, die eine speziell gestaltete URI enthält. Ein Benutzer, der zu dieser Website navigiert ist, würde eine SMB-Verbindung zu einem vom Angreifer kontrollierten SMB-Server erzwingen, der dann an den Benutzer eine fehlerhafte Antwort zurücksenden würde. Diese Antwort würde dazu führen, dass das System der Benutzer nicht mehr reagiert. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Was ist eine URI?  
Ein Uniform Resource Identifier (URI) ist eine Zeichenfolge, mit der Ressourcen im Internet oder über ein Netzwerk identifiziert werden bzw. auf diese eingewirkt wird. Eine URL ist ein typisches Beispiel für eine URI, die auf eine Ressource wie eine Website verweist. Weitere Informationen zu URIs finden Sie unter RFC 2396.

Was bewirkt das Update?  
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der SMB-Client beim Analysieren speziell gestalteter SMB-Antworten Speicher zuteilt.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Benutzer ausgenutzt wurde.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Mithilfe empfohlener Vorgehensweisen für die Firewall und standardisierten Firewallkonfigurationen können Netzwerke vor Remoteangriffen von außerhalb des Unternehmens geschützt werden. Eine bewährte Methode besteht darin, für Systeme, die mit dem Internet verbunden sind, nur eine minimale Anzahl von Ports zu öffnen. In diesem Fall sollten die SMB-Ports vom Internet blockiert werden.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Blockieren der TCP-Ports 139 und 445 an der Firewall:

  Diese Ports werden dazu verwendet, eine Verbindung mit der betroffenen Komponente zu initiieren. Das Blockieren der TCP-Ports 139 und 445 an der Firewall schützt Systeme hinter dieser Firewall vor Angriffen, die diese Sicherheitsanfälligkeit auszunutzen versuchen. Für diese Sicherheitsanfälligkeit sollten sowohl der eingehende als auch der ausgehende SMB-Datenverkehr blockiert werden, um die Anfälligkeit zu verringern. Microsoft empfiehlt das Blockieren der gesamten unerwünscht eingehenden Kommunikation aus dem Internet. So können Sie Angriffe verhindern, bei denen möglicherweise andere Ports verwendet werden. Weitere Informationen zu den Ports finden Sie im TechNet-Artikel TCP- und UDP-Portzuweisungen.

  Auswirkung der Problemumgehung: Mehrere Windows-Dienste verwenden die betroffenen Ports. Durch das Blockieren der Verbindung zu den Ports funktionieren verschiedene Anwendungen oder Dienste möglicherweise nicht mehr. Einige der möglicherweise betroffenen Anwendungen und Dienste werden im Folgenden aufgeführt.

  • Anwendungen, die SMB (CIFS) verwenden
  • Anwendungen, die Mailslots oder Named Pipes (RPC über SMB) verwenden
  • Server (Datei- und Druckerfreigabe)
  • Gruppenrichtlinie
  • Anmeldedienst
  • Distributed File System (DFS)
  • Terminal Server-Lizenzierung
  • Druckwarteschlange
  • Computerbrowser
  • Remote Procedure Call Locator
  • Faxdienst
  • Indexdienst
  • Leistungsprotokolle und Warnmeldungen
  • Systems Management Server
  • Lizenzprotokollierdienst

  So machen Sie die Problemumgehung rückgängig: Aufheben der Blockierung der TCP-Ports 139 und 445 an der Firewall. Weitere Informationen zu den Ports finden Sie unter TCP- und UDP-Portzuweisungen.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird dadurch verursacht, dass der Microsoft SMB-Client (Server Message Block) die Felder in der SMB-Antwort nicht richtig überprüft. Dies kann zu einer Speicherbeschädigung führen, die eine Codeausführung mit Berechtigungen auf Systemebene ermöglicht.

Was ist das Microsoft SMB-Protokoll (Server Message Block)?  
Das Microsoft SMB-Protokoll (Server Message Block) ist ein Microsoft-Protokoll zur Dateifreigabe für Netzwerke, das in Microsoft Windows verwendet wird. Weitere Informationen zu SMB finden Sie im MSDN-Artikel Microsoft SMB-Protokoll und CIFS-Protokoll – Übersicht.

Was ist SMBv2 (Microsoft Server Message Block Version 2)?  
SMB (Server Message Block) ist das standardmäßig auf Windows-basierten Computern verwendete Protokoll zur Dateifreigabe. SMB Version 2.0 (SMBv2) ist ein Update für dieses Protokoll und wird nur auf Computern unterstützt, auf denen Windows Server 2008, Windows 7 und Windows Vista ausgeführt wird. SMBv2 kann nur verwendet werden, wenn es sowohl vom Client als auch vom Server unterstützt wird. Wenn entweder der Client oder der Server SMBv2 nicht unterstützen kann, wird stattdessen das SMB 1.0-Protokoll verwendet. Über die für Dateivorgänge zu verwendende Version des SMB-Protokolls wird während der Verhandlungsphase entschieden. Während der Verhandlungsphase kündigt ein Windows Vista-Client dem Server an, dass er das neue SMBv2-Protokoll verstehen kann. Wenn der Server (Windows Server 2008 oder höher) SMBv2 versteht, wird für die nachfolgende Kommunikation SMBv2 ausgewählt. Andernfalls verwenden Client und Server SMB 1.0 und arbeiten normal weiter. Weitere Informationen zu SMBv2 finden Sie im MSDN-Artikel SMB (Server Message Block) Version 2-Protokollspezifikation.

Was ist der Unterschied zwischen SMBv1 und SMBv2?  
Beide Protokolle werden von Clients verwendet, um über das Netzwerk Datei- und Druckdienste von einem Serversystem anzufordern. Beide sind zustandsbehaftete Protokolle, mit denen Clients eine Verbindung zu einem Server herstellen, einen authentifizierten Kontext für diese Verbindung einrichten und dann verschiedene Anforderungen für den Zugriff auf Dateien, Drucker und Named Pipes für die prozessübergreifende Kommunikation ausgeben können. Das SMBv2-Protokoll ist eine umfassende Überarbeitung des vorhandenen SMB-Protokolls. Obwohl viele der zugrunde liegenden Konzepte die gleichen sind, sind die Paketformate vollkommen unterschiedlich. Zusätzlich zu allen Funktionen von SMBv1 stellt das SMBv2-Protokoll mehrere Verbesserungen bereit:

• Ermöglichen der Wiederherstellung eines Open zu einer Datei, nachdem eine Clientverbindung vorübergehend unterbrochen wurde.
• Ermöglichen eines Ausgleichs der Anzahl gleichzeitiger Vorgänge, die für einen Client zu einem beliebigen Zeitpunkt ausstehend sein dürfen, durch den Server.
• Bereitstellen von Skalierbarkeit hinsichtlich der Anzahl von Freigaben, Benutzern und gleichzeitig geöffneten Dateien.
• Unterstützung symbolischer Verknüpfungen.
• Verwendung eines stärkeren Algorithmus zur Überprüfung der Integrität von Anforderungen und Antworten.

Welche Versionen von SMB sind von dieser Sicherheitsanfälligkeit betroffen?  
Das in diesem CVE behandelte Problem betrifft sowohl SMBv1 als auch SMBv2.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Die meisten Versuche, diese Sicherheitsanfälligkeit auszunutzen, bewirken, dass ein betroffenes System nicht mehr reagiert und neu startet.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann einen speziell gestalteten SMB-Server hosten, der zum Ausnutzen dieser Sicherheitsanfälligkeit entwickelt wurde, und dann einen Benutzer dazu verleiten, eine SMB-Verbindung zu ihm zu initiieren. Außerdem kann ein Angreifer im lokalen Netzwerk einen Man-in-the-Middle-Angriff durchführen, um mit einer fehlerhaften SMB-Antwort auf eine legitime SMB-Anforderung zu antworten.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Alle betroffenen Betriebssysteme sind gefährdet.

Kann diese Sicherheitsanfälligkeit mittels Internet Explorer ausgenutzt werden?  
Nein. Allerdings kann dieses Problem unabhängig vom Browsertyp mithilfe von Webtransaktionen ausgenutzt werden. In einem webbasierten Angriffsszenario müsste ein Angreifer eine Webseite hosten, die eine speziell gestaltete URI enthält. Ein Benutzer, der zu dieser Website navigiert ist, würde eine SMB-Verbindung zu einem vom Angreifer kontrollierten SMB-Server erzwingen, der dann an den Benutzer eine fehlerhafte Antwort zurücksenden würde. Diese Antwort würde dazu führen, dass das System der Benutzer nicht mehr reagiert. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Was ist eine URI?  
Ein Uniform Resource Identifier (URI) ist eine Zeichenfolge, mit der Ressourcen im Internet oder über ein Netzwerk identifiziert werden bzw. auf diese eingewirkt wird. Eine URL ist ein typisches Beispiel für eine URI, die auf eine Ressource wie eine Website verweist. Weitere Informationen zu URIs finden Sie unter RFC 2396.

Was bewirkt das Update?  
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Felder innerhalb der SMB-Antwort überprüft werden.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Benutzer ausgenutzt wurde.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Mithilfe empfohlener Vorgehensweisen für die Firewall und standardisierten Firewallkonfigurationen können Netzwerke vor Remoteangriffen von außerhalb des Unternehmens geschützt werden. Eine bewährte Methode besteht darin, für Systeme, die mit dem Internet verbunden sind, nur eine minimale Anzahl von Ports zu öffnen. In diesem Fall sollten die SMB-Ports vom Internet blockiert werden.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Blockieren der TCP-Ports 139 und 445 an der Firewall:

  Diese Ports werden dazu verwendet, eine Verbindung mit der betroffenen Komponente zu initiieren. Das Blockieren der TCP-Ports 139 und 445 an der Firewall schützt Systeme hinter dieser Firewall vor Angriffen, die diese Sicherheitsanfälligkeit auszunutzen versuchen. Für diese Sicherheitsanfälligkeit sollten sowohl der eingehende als auch der ausgehende SMB-Datenverkehr blockiert werden, um die Anfälligkeit zu verringern. Microsoft empfiehlt das Blockieren der gesamten unerwünscht eingehenden Kommunikation aus dem Internet. So können Sie Angriffe verhindern, bei denen möglicherweise andere Ports verwendet werden. Weitere Informationen zu den Ports finden Sie im TechNet-Artikel TCP- und UDP-Portzuweisungen.

  Auswirkung der Problemumgehung: Mehrere Windows-Dienste verwenden die betroffenen Ports. Durch das Blockieren der Verbindung zu den Ports funktionieren verschiedene Anwendungen oder Dienste möglicherweise nicht mehr. Einige der möglicherweise betroffenen Anwendungen und Dienste werden im Folgenden aufgeführt.

  • Anwendungen, die SMB (CIFS) verwenden
  • Anwendungen, die Mailslots oder Named Pipes (RPC über SMB) verwenden
  • Server (Datei- und Druckerfreigabe)
  • Gruppenrichtlinie
  • Anmeldedienst
  • Distributed File System (DFS)
  • Terminal Server-Lizenzierung
  • Druckwarteschlange
  • Computerbrowser
  • Remote Procedure Call Locator
  • Faxdienst
  • Indexdienst
  • Leistungsprotokolle und Warnmeldungen
  • Systems Management Server
  • Lizenzprotokollierdienst

  So machen Sie die Problemumgehung rückgängig: Aufheben der Blockierung der TCP-Ports 139 und 445 an der Firewall. Weitere Informationen zu den Ports finden Sie unter TCP- und UDP-Portzuweisungen.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit liegt vor, weil die Implementierung des Microsoft SMB-Clients (Server Message Block) speziell gestaltete SMB-Transaktionsantworten nicht richtig analysiert. Dies kann zu einer Speicherbeschädigung führen, die eine Codeausführung mit Berechtigungen auf Systemebene ermöglicht.

Was ist das Microsoft SMB-Protokoll (Server Message Block)?  
Das Microsoft SMB-Protokoll (Server Message Block) ist ein Microsoft-Protokoll zur Dateifreigabe für Netzwerke, das in Microsoft Windows verwendet wird. Weitere Informationen zu SMB finden Sie im MSDN-Artikel Microsoft SMB-Protokoll und CIFS-Protokoll – Übersicht.

Was ist SMBv2 (Microsoft Server Message Block Version 2)?  
SMB (Server Message Block) ist das standardmäßig auf Windows-basierten Computern verwendete Protokoll zur Dateifreigabe. SMB Version 2.0 (SMBv2) ist ein Update für dieses Protokoll und wird nur auf Computern unterstützt, auf denen Windows Server 2008, Windows 7 und Windows Vista ausgeführt wird. SMBv2 kann nur verwendet werden, wenn es sowohl vom Client als auch vom Server unterstützt wird. Wenn entweder der Client oder der Server SMBv2 nicht unterstützen kann, wird stattdessen das SMB 1.0-Protokoll verwendet. Über die für Dateivorgänge zu verwendende Version des SMB-Protokolls wird während der Verhandlungsphase entschieden. Während der Verhandlungsphase kündigt ein Windows Vista-Client dem Server an, dass er das neue SMBv2-Protokoll verstehen kann. Wenn der Server (Windows Server 2008 oder höher) SMBv2 versteht, wird für die nachfolgende Kommunikation SMBv2 ausgewählt. Andernfalls verwenden Client und Server SMB 1.0 und arbeiten normal weiter. Weitere Informationen zu SMBv2 finden Sie im MSDN-Artikel SMB (Server Message Block) Version 2-Protokollspezifikation.

Was ist der Unterschied zwischen SMBv1 und SMBv2?  
Beide Protokolle werden von Clients verwendet, um über das Netzwerk Datei- und Druckdienste von einem Serversystem anzufordern. Beide sind zustandsbehaftete Protokolle, mit denen Clients eine Verbindung zu einem Server herstellen, einen authentifizierten Kontext für diese Verbindung einrichten und dann verschiedene Anforderungen für den Zugriff auf Dateien, Drucker und Named Pipes für die prozessübergreifende Kommunikation ausgeben können. Das SMBv2-Protokoll ist eine umfassende Überarbeitung des vorhandenen SMB-Protokolls. Obwohl viele der zugrunde liegenden Konzepte die gleichen sind, sind die Paketformate vollkommen unterschiedlich. Zusätzlich zu allen Funktionen von SMBv1 stellt das SMBv2-Protokoll mehrere Verbesserungen bereit:

• Ermöglichen der Wiederherstellung eines Open zu einer Datei, nachdem eine Clientverbindung vorübergehend unterbrochen wurde.
• Ermöglichen eines Ausgleichs der Anzahl gleichzeitiger Vorgänge, die für einen Client zu einem beliebigen Zeitpunkt ausstehend sein dürfen, durch den Server.
• Bereitstellen von Skalierbarkeit hinsichtlich der Anzahl von Freigaben, Benutzern und gleichzeitig geöffneten Dateien.
• Unterstützung symbolischer Verknüpfungen.
• Verwendung eines stärkeren Algorithmus zur Überprüfung der Integrität von Anforderungen und Antworten.

Welche Versionen von SMB sind von dieser Sicherheitsanfälligkeit betroffen?  
Diese Sicherheitsanfälligkeit betrifft sowohl SMBv1 als auch SMBv2.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Die meisten Versuche, diese Sicherheitsanfälligkeit auszunutzen, bewirken, dass ein betroffenes System nicht mehr reagiert und neu startet.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann einen speziell gestalteten SMB-Server hosten, der zum Ausnutzen dieser Sicherheitsanfälligkeit entwickelt wurde, und dann einen Benutzer dazu verleiten, eine SMB-Verbindung zu ihm zu initiieren. Außerdem kann ein Angreifer im lokalen Netzwerk einen Man-in-the-Middle-Angriff durchführen, um mit einer fehlerhaften SMB-Antwort auf eine legitime SMB-Anforderung zu antworten.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Alle betroffenen Betriebssysteme sind gefährdet.

Weshalb wird der Schweregrad für Windows 7 und Windows Server 2008 R2 als Niedrig eingestuft?  
Obwohl diese Sicherheitsanfälligkeit diese Plattformen nicht direkt betrifft, können TDI-Filter von Drittanbietern vorhanden sein, die anfällig für dieses Problem sind. Das Update behebt dieses Problem. Mit diesen Plattformen werden keine TDI-Filter geliefert, die anfällig für dieses Problem sind. Microsoft sind keine TDI-Filter von Drittanbietern bekannt, die von diesem Problem betroffen sind.

Kann diese Sicherheitsanfälligkeit mittels Internet Explorer ausgenutzt werden?  
Nein. Allerdings kann dieses Problem unabhängig vom Browsertyp mithilfe von Webtransaktionen ausgenutzt werden. In einem webbasierten Angriffsszenario müsste ein Angreifer eine Webseite hosten, die eine speziell gestaltete URI enthält. Ein Benutzer, der zu dieser Website navigiert ist, würde eine SMB-Verbindung zu einem vom Angreifer kontrollierten SMB-Server erzwingen, der dann an den Benutzer eine fehlerhafte Antwort zurücksenden würde. Diese Antwort würde dazu führen, dass das System der Benutzer nicht mehr reagiert. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Was ist eine URI?  
Ein Uniform Resource Identifier (URI) ist eine Zeichenfolge, mit der Ressourcen im Internet oder über ein Netzwerk identifiziert werden bzw. auf diese eingewirkt wird. Eine URL ist ein typisches Beispiel für eine URI, die auf eine Ressource wie eine Website verweist. Weitere Informationen zu URIs finden Sie unter RFC 2396.

Was bewirkt das Update?  
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der SMB-Client speziell gestaltete SMB-Transaktionsantworten analysiert.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Benutzer ausgenutzt wurde.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Mithilfe empfohlener Vorgehensweisen für die Firewall und standardisierten Firewallkonfigurationen können Netzwerke vor Remoteangriffen von außerhalb des Unternehmens geschützt werden. Eine bewährte Methode besteht darin, für Systeme, die mit dem Internet verbunden sind, nur eine minimale Anzahl von Ports zu öffnen. In diesem Fall sollten die SMB-Ports vom Internet blockiert werden.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Blockieren der TCP-Ports 139 und 445 an der Firewall:

  Diese Ports werden dazu verwendet, eine Verbindung mit der betroffenen Komponente zu initiieren. Das Blockieren der TCP-Ports 139 und 445 an der Firewall schützt Systeme hinter dieser Firewall vor Angriffen, die diese Sicherheitsanfälligkeit auszunutzen versuchen. Für diese Sicherheitsanfälligkeit sollten sowohl der eingehende als auch der ausgehende SMB-Datenverkehr blockiert werden, um die Anfälligkeit zu verringern. Microsoft empfiehlt das Blockieren der gesamten unerwünscht eingehenden Kommunikation aus dem Internet. So können Sie Angriffe verhindern, bei denen möglicherweise andere Ports verwendet werden. Weitere Informationen zu den Ports finden Sie im TechNet-Artikel TCP- und UDP-Portzuweisungen.

  Auswirkung der Problemumgehung: Mehrere Windows-Dienste verwenden die betroffenen Ports. Durch das Blockieren der Verbindung zu den Ports funktionieren verschiedene Anwendungen oder Dienste möglicherweise nicht mehr. Einige der möglicherweise betroffenen Anwendungen und Dienste werden im Folgenden aufgeführt.

  • Anwendungen, die SMB (CIFS) verwenden
  • Anwendungen, die Mailslots oder Named Pipes (RPC über SMB) verwenden
  • Server (Datei- und Druckerfreigabe)
  • Gruppenrichtlinie
  • Anmeldedienst
  • Distributed File System (DFS)
  • Terminal Server-Lizenzierung
  • Druckwarteschlange
  • Computerbrowser
  • Remote Procedure Call Locator
  • Faxdienst
  • Indexdienst
  • Leistungsprotokolle und Warnmeldungen
  • Systems Management Server
  • Lizenzprotokollierdienst

  So machen Sie die Problemumgehung rückgängig: Aufheben der Blockierung der TCP-Ports 139 und 445 an der Firewall. Weitere Informationen zu den Ports finden Sie unter TCP- und UDP-Portzuweisungen.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird dadurch verursacht, dass die Implementierung des Microsoft SMB-Clients (Server Message Block) speziell gestaltete SMB-Antworten falsch verarbeitet, was dazu führt, dass der SMB-Client die gesamte Antwort liest und dem Winsock-Kernel einen ungültigen Wert übermittelt.

Was ist das Microsoft SMB-Protokoll (Server Message Block)?  
Das Microsoft SMB-Protokoll (Server Message Block) ist ein Microsoft-Protokoll zur Dateifreigabe für Netzwerke, das in Microsoft Windows verwendet wird. Weitere Informationen zu SMB finden Sie im MSDN-Artikel Microsoft SMB-Protokoll und CIFS-Protokoll – Übersicht.

Was ist SMBv2 (Microsoft Server Message Block Version 2)?  
SMB (Server Message Block) ist das standardmäßig auf Windows-basierten Computern verwendete Protokoll zur Dateifreigabe. SMB Version 2.0 (SMBv2) ist ein Update für dieses Protokoll und wird nur auf Computern unterstützt, auf denen Windows Server 2008, Windows 7 und Windows Vista ausgeführt wird. SMBv2 kann nur verwendet werden, wenn es sowohl vom Client als auch vom Server unterstützt wird. Wenn entweder der Client oder der Server SMBv2 nicht unterstützen kann, wird stattdessen das SMB 1.0-Protokoll verwendet. Über die für Dateivorgänge zu verwendende Version des SMB-Protokolls wird während der Verhandlungsphase entschieden. Während der Verhandlungsphase kündigt ein Windows Vista-Client dem Server an, dass er das neue SMBv2-Protokoll verstehen kann. Wenn der Server (Windows Server 2008 oder höher) SMBv2 versteht, wird für die nachfolgende Kommunikation SMBv2 ausgewählt. Andernfalls verwenden Client und Server SMB 1.0 und arbeiten normal weiter. Weitere Informationen zu SMBv2 finden Sie im MSDN-Artikel SMB (Server Message Block) Version 2-Protokollspezifikation.

Was ist der Unterschied zwischen SMBv1 und SMBv2?  
Beide Protokolle werden von Clients verwendet, um über das Netzwerk Datei- und Druckdienste von einem Serversystem anzufordern. Beide sind zustandsbehaftete Protokolle, mit denen Clients eine Verbindung zu einem Server herstellen, einen authentifizierten Kontext für diese Verbindung einrichten und dann verschiedene Anforderungen für den Zugriff auf Dateien, Drucker und Named Pipes für die prozessübergreifende Kommunikation ausgeben können. Das SMBv2-Protokoll ist eine umfassende Überarbeitung des vorhandenen SMB-Protokolls. Obwohl viele der zugrunde liegenden Konzepte die gleichen sind, sind die Paketformate vollkommen unterschiedlich. Zusätzlich zu allen Funktionen von SMBv1 stellt das SMBv2-Protokoll mehrere Verbesserungen bereit:

• Ermöglichen der Wiederherstellung eines Open zu einer Datei, nachdem eine Clientverbindung vorübergehend unterbrochen wurde.
• Ermöglichen eines Ausgleichs der Anzahl gleichzeitiger Vorgänge, die für einen Client zu einem beliebigen Zeitpunkt ausstehend sein dürfen, durch den Server.
• Bereitstellen von Skalierbarkeit hinsichtlich der Anzahl von Freigaben, Benutzern und gleichzeitig geöffneten Dateien.
• Unterstützung symbolischer Verknüpfungen.
• Verwendung eines stärkeren Algorithmus zur Überprüfung der Integrität von Anforderungen und Antworten.

Welche Versionen von SMB sind von dieser Sicherheitsanfälligkeit betroffen?  
Das in diesem CVE behandelte Problem betrifft sowohl SMBv1 als auch SMBv2.

Was ist der Winsock-Kernel?  
Der Winsock-Kernel (WSK) ist eine Netzwerkprogrammierschnittstelle (NPI) im Kernelmodus. Dank WSK können Softwaremodule im Kernelmodus Netzwerk-E/A-Vorgänge durchführen, indem sie dieselben Socket-Programmierkonzepte verwenden, die von Winsock2 im Benutzermodus unterstützt werden. Die WSK-NPI unterstützt bekannte Socketvorgänge wie z. B. Socketerstellung, Bindung, Verbindungsherstellung und Datenübertragungen (Senden und Empfangen). Aber obwohl die WSK-NPI größtenteils die gleichen Socketprogrammierkonzepte wie Winsock2 im Benutzermodus unterstützt, handelt es sich um eine vollständig neue und verschiedene Schnittstelle mit einzigartigen Merkmalen wie z. B. asynchroner E/A, die IRPs und Ereignisrückrufe zur Leistungsverbesserung verwendet. Weitere Informationen finden Sie in dem MSDN-Artikel Winsock-Kernel.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Die meisten Versuche, diese Sicherheitsanfälligkeit auszunutzen, bewirken, dass ein betroffenes System nicht mehr reagiert und neu startet.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann einen speziell gestalteten SMB-Server hosten, der zum Ausnutzen dieser Sicherheitsanfälligkeit entwickelt wurde, und dann einen Benutzer dazu verleiten, eine SMB-Verbindung zu ihm zu initiieren. Außerdem kann ein Angreifer im lokalen Netzwerk einen Man-in-the-Middle-Angriff durchführen, um mit einer fehlerhaften SMB-Antwort auf eine legitime SMB-Anforderung zu antworten.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Alle betroffenen Betriebssysteme sind gefährdet.

Kann diese Sicherheitsanfälligkeit mittels Internet Explorer ausgenutzt werden?  
Nein. Allerdings kann dieses Problem unabhängig vom Browsertyp mithilfe von Webtransaktionen ausgenutzt werden. In einem webbasierten Angriffsszenario müsste ein Angreifer eine Webseite hosten, die eine speziell gestaltete URI enthält. Ein Benutzer, der zu dieser Website navigiert ist, würde eine SMB-Verbindung zu einem vom Angreifer kontrollierten SMB-Server erzwingen, der dann an den Benutzer eine fehlerhafte Antwort zurücksenden würde. Diese Antwort würde dazu führen, dass das System der Benutzer nicht mehr reagiert. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Was ist eine URI?  
Ein Uniform Resource Identifier (URI) ist eine Zeichenfolge, mit der Ressourcen im Internet oder über ein Netzwerk identifiziert werden bzw. auf diese eingewirkt wird. Eine URL ist ein typisches Beispiel für eine URI, die auf eine Ressource wie eine Website verweist. Weitere Informationen zu URIs finden Sie unter RFC 2396.

Was bewirkt das Update?  
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der SMB-Client speziell gestaltete SMB-Antworten verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Benutzer ausgenutzt wurde.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Hinweis Für unterstützte Versionen von Windows XP Professional x64 Edition ist dieses Sicherheitsupdate identisch mit unterstützten Versionen des Sicherheitsupdates für Windows Server 2003 x64 Edition.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.