Microsoft-beveiligingsbulletin MS11-001 - Belangrijk

Met beperkende factoren wordt verwezen naar een instelling, de algehele configuratie of algemene tips voor een standaardstatus waarmee de ernst van misbruik via een beveiligingslek kan worden verminderd. De volgende beperkende factoren kunnen in uw situatie van pas komen:

• Een aanval lukt alleen als een gebruiker een niet-vertrouwde externe bestandssysteemlocatie of WebDAV-share bezoekt en een .wbcat-bestand (Windows Backup Catalog) opent.
• Het SMB-protocol (Server Message Block) voor bestandsdeling wordt dikwijls uitgeschakeld bij de omgevingsfirewall. Dit beperkt de mogelijke aanvalsvectoren voor dit beveiligingslek.

Tijdelijke oplossingen zijn wijzigingen in een instelling of configuratie waardoor het beveiligingslek zelf niet wordt gedicht, maar waarmee aanvalsvectoren wel worden geblokkeerd voordat u de update uitvoert. Microsoft heeft de volgende methoden en statussen om het probleem te omzeilen getest om uit te zoeken of een tijdelijke oplossing functionaliteit vermindert:

• Schakel het laden van bibliotheken van WebDAV en externe netwerkshares uit

  Opmerking Zie Microsoft Knowledge Base-artikel 2264107 voor het gebruik van een tijdelijke oplossing waarmee klanten het laden van bibliotheken van WebDAV- en externe netwerkshares kunnen uitschakelen. Dit hulpprogramma kan zo worden geconfigureerd dat het op onveilige wijze laden per toepassing of in het hele systeem niet is toegestaan.

  Klanten die via hun leverancier hebben vernomen dat een toepassing kwetsbaar is, kunnen zich met dit hulpprogramma beschermen tegen misbruik van dit probleem.

  Opmerking Zie Microsoft Knowledge Base-artikel 2264107 voor gebruik van de automatische Microsoft Fix it-oplossing om de registersleutel te gebruiken om hat laden van bibliotheken van SMB- en WebDAV-shares uit te schakelen. Voor deze Fix it-oplossing moet u ook eerst de tijdelijke oplossing installeren die wordt beschreven in Microsoft Knowledge Base-artikel 2264107. Deze Fix it-oplossing implementeert alleen de registersleutel en werkt pas in combinatie met de tijdelijke oplossing. Wij raden beheerders aan het KB-artikel nauwkeurig door te lezen voordat ze deze Fix it-oplossing toepassen.

• De WebClient-service uitschakelen

  Het uitschakelen van de WebClient-service helpt getroffen systemen te beschermen tegen pogingen tot misbruik van dit beveiligingslek door de meest waarschijnlijke aanvalsvector via de WebDAV-clientservice (Web Distributed Authoring and Versioning) te blokkeren. Nadat u deze tijdelijke oplossing hebt toegepast, kunnen externe aanvallers die misbruik weten te maken van dit beveiligingslek nog steeds zorgen dat het systeem programma's uitvoert die zich bevinden op de computer of het LAN van de aangevallen gebruiker, maar de gebruiker wordt gevraagd zijn keuze te bevestigen voordat willekeurige programma's van internet worden geopend.

  Als u de WebClient-service wilt uitschakelen, gaat u als volgt te werk:

  1. Klik op Start en Uitvoeren, typ Services.msc in en klik vervolgens op OK.
  2. Klik met de rechtermuisknop op WebClient-service en selecteer Eigenschappen.
  3. Wijzig het opstarttype in Uitgeschakeld. Klik als de service wordt uitgevoerd op Stoppen.
  4. Klik op OK en sluit de beheertoepassing.

  Gevolgen van de tijdelijke oplossing. Als de WebClient-service is uitgeschakeld, worden WebDAV-verzoeken (Web Distributed Authoring and Versioning) niet meer doorgegeven. Daarnaast worden services die afhankelijk zijn van de WebClient-service niet gestart en wordt er een foutbericht geregistreerd in het systeemlogboek. Gedeelde WebDAV-bestanden zijn bijvoorbeeld niet toegankelijk met de clientcomputer.

  De tijdelijke oplossing ongedaan maken.

  Als u de WebClient-service wilt uitschakelen, gaat u als volgt te werk:

  1. Klik op Start en Uitvoeren, typ Services.msc in en klik vervolgens op OK.
  2. Klik met de rechtermuisknop op WebClient-service en selecteer Eigenschappen.
  3. Wijzig het opstarttype in Automatisch. Als de service niet wordt uitgevoerd, klikt u op Start.
  4. Klik op OK en sluit de beheertoepassing.
• Blokkeer TCP-poorten 139 en 445 op de firewall

  Deze poorten worden gebruikt om een verbinding tot stand te brengen met het onderdeel waarin dit probleem optreedt. Door TCP-poort 139 en 445 op de firewall te blokkeren zorgt u ervoor dat op systemen achter deze firewall geen aanvallen kunnen worden uitgevoerd. U wordt aanbevolen alle ongewenste inkomende communicatie via internet te blokkeren om aanvallen te voorkomen waarvoor andere poorten worden gebruikt. Zie het TechNet-artikel TCP and UDP Port Assignments voor meer informatie over poorten.

  Gevolgen van de tijdelijke oplossing. Verscheidene Windows-services maken gebruik van de poorten waarvoor dit probleem geldt. Het blokkeren van de verbinding met de poorten kan ertoe leiden dat verschillende toepassingen of services niet werken. Hieronder worden enkele toepassingen of services genoemd die zijn getroffen:

  • Toepassingen die SMB (CIFS) gebruiken
  • Toepassingen die mailslots of named pipes (RPC over SMB) gebruiken
  • Servers (het delen van bestanden en printers)
  • Groepsbeleid
  • Net Logon
  • Distributed File System (DFS)
  • Terminal Server Licensing
  • Print Spooler
  • Computer Browser
  • Remote Procedure Call Locator
  • Fax Service
  • Indexing-service
  • Prestatielogboeken en signalen
  • Systems Management Server
  • License Logging-service

  De tijdelijke oplossing ongedaan maken. Hef de blokkering van TCP-poorten 139 en 445 bij de firewall op. Ga naar TCP and UDP Port Assignments voor meer informatie over poorten.

Wat is de omvang van het probleem?  
Dit beveiligingslek heeft betrekking op de uitvoering van externe code. Een aanvaller die misbruik weet te maken van dit beveiligingslek, kan volledige controle krijgen over een systeem waarin dit probleem optreedt. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken.

Waardoor wordt het beveiligingslek veroorzaakt?  
Het beveiligingslek wordt veroorzaakt wanneer Windows Backup Manager het pad voor het laden van externe bibliotheken niet goed beperkt.

Wat is Windows Backup Manager?  
Met Windows Backup Manager (sdclt.exe) kunnen gebruikers de systeembestanden van een computer terugzetten op een eerdere toestand. Systeemherstel gebruikt de functie Systeembeveiliging om regelmatig herstelpunten te maken en op de computer op te slaan. Deze herstelpunten bevatten informatie over registerinstellingen en andere systeeminformatie die Windows gebruikt. Deze herstelpunten kunnen ook handmatig worden gemaakt.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?  
Een aanvaller die misbruik weet te maken van dit beveiligingslek kan zich voordoen als de aangemelde gebruiker en zo willekeurige programmacode uitvoeren. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken. Als een gebruiker met beheerdersrechten is aangemeld, kan een aanvaller volledige controle krijgen over het systeem waarin dit probleem optreedt. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.

Hoe kan een aanvaller dit beveiligingslek misbruiken?  
Misbruik is alleen mogelijk als een gebruiker een legitiem. wbcat-bestand opent dat zich bevindt in dezelfde map als een speciaal vervaardigd DLL-bestand (Dynamic Link Library). Wanneer het. wbcat-bestand wordt geopend, kan de Windows Backup Manager-toepassing proberen het speciaal vervaardigde DLL-bestand te laden en de code in dat bestand uit te voeren.

In een aanval via het netwerk kan een aanvaller een legitiem .wbcat-bestand en een speciaal vervaardigde DLL op een netwerkshare plaatsen, zoals een UNC of WebDAV-locatie, en de gebruiker overhalen om het .wbcat-bestand te openen. Wanneer de gebruiker het .wbcat-bestand opent, wordt het speciaal vervaardigde DLL-bestand geopend, dat in dezelfde map staat als het ,wbcat-bestand. Een aanvaller kan gebruikers niet dwingen om een .wbcat-bestand vanaf een netwerkshare te openen. In plaats daarvan moet een aanvaller gebruikers overhalen om het bestand te openen. Dit gebeurt doorgaans door hen op een koppeling in een e-mail- of Messenger-bericht te laten klikken waardoor zij naar de netwerkshare gaan, waarna ze moeten worden overgehaald om het .wbcat-bestand te openen.

In een aanval per e-mail kan een aanvaller misbruik maken van het beveiligingslek door een gebruiker een legitieme .wbcat-bijlage te sturen, de gebruiker over te halen om de bijlage in een map te plaatsen die een speciaal vervaardigd DLL-bestand bevat, en de gebruiker vervolgens over te halen om het .wbcat-bestand te openen. Wanneer de gebruiker het .wbcat-bestand opent, wordt het speciaal vervaardigde DLL-bestand geopend, dat in dezelfde map staat als het ,wbcat-bestand. Als een gebruiker op een koppeling in een e-mailbericht klikt, kan de gebruiker door dit beveiligingslek worden getroffen in een aanval via het netwerk.

Voor welke systemen vormt dit beveiligingslek het grootste risico?  
Dit beveiligingslek treft hoofdzakelijk werkstations van gebruikers die gemakkelijk bijlagen van niet-vertrouwde netwerklocaties openen. Servers lopen ook gevaar als beheerders toestaan dat gebruikers zich op servers aanmelden en programma's uitvoeren. Dit is echter volkomen in strijd met de aanbevolen richtlijnen voor gebruik.

Wat doet de update?  
De update lost het beveiligingslek op door de manier te verbeteren waarop Windows Backup Manager externe bibliotheken laadt.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Ja. Dit beveiligingslek is openbaar gemaakt. Aan dit beveiligingslek is nummer CVE-2010-3145 toegewezen.

Was aan Microsoft gerapporteerd dat er misbruik was gemaakt van dit beveiligingslek op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft heeft wel voorbeelden van gepubliceerde conceptcode gezien als bewijs maar beschikte niet over informatie dat dit beveiligingslek werd gebruikt voor aanvallen op klanten op het moment dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.