Kritische Kerberos-Lücke in Windows wird ausgenutzt

Für den monatlichen Update-Dienstag am 11. November hatte Microsoft im Vorfeld 16 Security Bulletins angekündigt . Letztlich hat der Windows-Hersteller jedoch zunächst nur 14 Bulletins veröffentlicht, die beiden anderen sollten nachgereicht werden. Eines dieser Bulletins, MS14-068, hat Microsoft am 18. November veröffentlicht. Sie betrifft vor allem Domain Controller (DC), die als Kerberos Key Distribution Center (KDC) konfiguriert sind und ist für alle Ausgaben von Windows Server als kritisch eingestuft. Durch die im Bulletin MS14-068 behandelte Schwachstelle prüft Kerberos die Prüfsummen von Service-Tickets nur unzureichend. Ein Angreifer mit unprivilegiertem Benutzerkonto kann sich so die Rechte jeder beliebigen Benutzergruppe verschaffen – bis hin zum Domänenadministrator. Mit anderen Worten: eingeschleuster Schadcode, der zunächst mit den Rechten eines normalen Domänenbenutzers ausgeführt wird, kann auf diese Weise die Kontrolle über jeden Rechner einer Windows-Domäne übernehmen – Domain Controller eingeschlossen. Für Windows-Clients (Vista, 7, 8.x) gibt Microsoft keine Risikostufe an. Für diese Systeme betrachtet Microsoft das zugehörige Sicherheits-Update mehr als Vorsichtsmaßnahme. Nach Angaben Microsofts sind bereits vereinzelte Angriffe bekannt, die diese Schwachstelle auszunutzen versuchen. Systeme, auf denen Windows Server 2012 oder 2012 R2 läuft, seien derzeit nicht davon betroffen. Exploit-Code ist bislang nicht öffentlich verfügbar, die Lücke wurde vertraulich am Microsoft gemeldet. Das Security Bulletin MS14-068 ist bislang nur in englischer Sprache verfügbar. Das zugehörige Sicherheits-Update KB3011780 wird bereits über Windows Update verteilt. Seine Installation erfordert einen Neustart des Betriebssystems. Außerdem hat Microsoft das Update zum Security Bulletin MS14-066 revidiert. Wer das Update KB2992611 vor dem 18. November auf Windows Server 2008 R2 oder Server 2012 installiert hat, sollte die neue Fassung installieren. Es habe vereinzelt Probleme mit den in der ersten Fassung enthaltenen neuen TLS-Verschlüsselungsverfahren gegeben, heißt es bei Microsoft zur Begründung.