Microsoft hat j�ngst einen der schwerwiegendsten Fehler korrigiert, die dem Unternehmen je unterlaufen sind. �ber den Bug konnten Angreifer ziemlich einfach die zentralen Windows-Server in Unternehmensnetzen und damit quasi die ganze Infrastruktur �bernehmen.

Der Fehler, der unter der Kennung CVE-2020-1472 in den Security-Datenbanken re­gis­triert wurde, ist bereits im August mit einem Patch beseitigt worden. Allerdings dauert es f�r gew�hnlich einige Zeit, bis die Korrekturen in Firmen getestet und installiert werden. Daher sind weitergehende Informationen zu dem Bug, der auf der Schwere-Skala 10 von 10 Punk­ten erhielt, erst jetzt bereitgestellt worden. Der niederl�ndische Security-Dienstleister Se­cu­ra machte den technischen Bericht nun �ffentlich.

Zu finden war der Bug im Netlogon-Protokoll, das die Authentifizierung von Nutzern ge­gen­�ber dem Dom�nen-Controller vornimmt. Die als "Zerologon" bezeichnete Schwach­stel­le profitierte hier von Schw�chen in der Implementierung eines krypto­gra­phi­schen Verfahrens. Im Zuge dessen konnte man faktisch jeden Rechner als legitimes System in einer Dom�ne anmelden und die Sicherheits-Features im Netlogon-Verfahren deaktivieren. Auch die Pass­w�r­ter f�r ein System lie�en sich im Active Directory problemlos ab�ndern. Das Schema eines Zerologon-Angriffs Der Angriff wurde m�glich, weil ein Wert, der zwischen Server und Client abgestimmt wird und �bereinstimmen muss, bei jedem 256. Durchlauf den Wert Null hatte. Der Client des An­grei­fers musste sich also jeweils nur mit einem mit Nullen gef�llten Parameter immer wieder an­zu­mel­den versuchen und bekam dann nach recht kurzer Zeit Zugriff. Laut den Si­cher­heits­for­schern werden f�r eine solche Brute-Force-Attacke kaum mehr als wenige Se­kun­den be­n�­tigt, bis sich ein Erfolg einstellt.

Zweistufiger Patch

Der entsprechende Angriff kann nicht �ber das offene Internet ausgef�hrt werden. Es gen�gt aber, dass ein Angreifer auf irgendeine Weise Zugang zu einer physischen Verbindung zu einem Firmennetz bekommt. Und das ist oft genug denkbar einfach, denn es kann bereits gen�gen, dass man w�hrend eines Besuchs eine WLAN-Verbindung bereitgestellt bekommt, �ber die man dann tief ins Netzwerk eindringen kann. Einfachste Social Engineering-Techniken f�hren hier also bereits zum Erfolg.

F�r Microsoft war es nicht gerade eine einfache Aufgabe, den Bug zu beseitigen. Denn man musste schlie�lich daf�r sorgen, dass �nderungen am Netlogon-Verfahren durchgef�hrt werden, ohne dass pl�tzlich Millionen Arbeitsplatz-PCs ihre Verbindung zum Firmennetz verlieren. Daher gibt es jetzt einen zweistufigen Patch: Im August wurde der Fehler erst einmal rudiment�r behoben. Im kommenden Februar gibt es dann eine weitere Korrektur, die tiefergehende L�sungen bringen soll.

Siehe auch: