KB 951306
Rechteausweitung in Windows über IIS und MS SQL
Microsoft warnt in seiner neuesten Sicherheitsempfehlung vor einer Schwachstelle in aktuellen Windows-Versionen, durch Web-Code mit erweiterten Rechten auf den Web-Server zugreifen könnte.
Microsofts Web-Server-Software IIS (Internet Information Services) hat in den letzten Jahren erhebliche Marktanteile erobern können. Jetzt sind Web-Server mit IIS durch eine Sicherheitslücke gefährdet, die unter gewissen Randbedingungen eine Rechteausweitung des auf dem Web-Server ausgeführten Codes ermöglichen kann. Microsoft warnt in seiner Sicherheitsempfehlung 951306 davor, dass Anwender-Code auf Systemen wie dem IIS oder Microsoft SQL-Server unter Umständen Systemrechte erlangen kann.
Die Schwachstelle ist von Cesar Cerrudo entdeckt und in der letzten Woche auf einer Sicherheitskonferenz in Dubai vorgestellt worden. Dienste können demnach die in einem Token gespeicherten Zugriffsrechte eines anderen laufenden Prozesses übernehmen. Dadurch könnte von angemeldeten Anwendern, etwa den Kunden eines Web-Providers, bereit gestellter Code, etwa Active Server Pages (ASP), die Rechte des lokalen Systemkontos erhalten - und damit die volle Kontrolle über den Rechner.
Betroffen sind laut Microsoft Windows XP SP2, Vista, Server 2003 und Server 2008, sofern der IIS oder der SQL-Server-Dienst aktiviert ist. Es sei allerdings noch kein Fall bekannt, in dem diese Sicherheitslücke in der Praxis ausgenutzt worden sei.
Cerrudo will erst dann ein Programm veröffentlichen, das die Ausnutzung dieser Schwachstelle demonstriert, wenn Microsoft einen Patch dagegen bereit gestellt hat. Wann dies der Fall sein wird, ist allerdings noch ungewiss. Microsoft erklärt in der Sicherheitsempfehlung, es untersuche noch die Einzelheiten der Sicherheitslücke. Sobald die Untersuchungen abgeschlossen seien, werde Microsoft die notwendigen Maßnahmen ergreifen, um seine Kunden zu schützen. Dies könne ein Sicherheits-Update im Rahmen des Patch Day sein oder auch eines außerhalb der Reihe.
Bis dahin empfiehlt Microsoft in dem nur auf Englisch veröffentlichten Advisory speziell abgesicherte Konten für die Ausführung von Anwender-Code einzurichten und wenn möglich den Dienst MSDTC (Microsoft Distributed Transaction Coordinator) zu deaktivieren. Der nächste Patch Day ist für den 13. Mai geplant.
