SIGRed – Kritische Microsoft-Sicherheitslücke

15. Juli 2020 : Cybersicherheitsforscher haben heute eine neue, hochkritische, wurmartige Sicherheitslücke mit einem Schweregrad von 10 von 10 auf der CVSS-Skala aufgedeckt. Betroffen sind Windows Server-Versionen 2003 bis 2019. Diese kritische Sicherheitslücke ermöglicht es einem nicht authentifizierten, entfernten Angreifer, Domänenadministratorrechte auf den Zielservern zu erlangen und die vollständige Kontrolle über die IT-Infrastruktur eines Unternehmens zu übernehmen. Dies geschieht durch einen Angriff auf einen üblicherweise offenen Port in internen Netzwerken, der für den Zugriff auf Websites genutzt wird: den Domain Name Service (DNS). DNS ist vergleichbar mit dem alten Telefonbuch, in dem die Telefonnummer zum Namen einer Person gehörte. DNS wandelt Website-Namen in IP-Adressen um. Genau hier liegt die Zero-Day-Schwachstelle, die heute von Sicherheitsforschern gemeldet wurde. Sie ist so gravierend, dass sie einen Namen erhalten hat: SigRed. Sicherheitslücken mit besonderen Namen sind in der Regel gefährlich! Man denke nur an CodeRed, SQL Slammer oder Heartbleed, um nur einige Beispiele für schwerwiegende Fälle der letzten Zeit zu nennen.

Ein Hacker nutzt diese Schwachstelle aus, indem er eine speziell präparierte, schädliche DNS-Anfrage an einen Windows-DNS-Server sendet, was zur Ausführung beliebigen Codes führt. Da der DNS-Server mit erhöhten Rechten (SYSTEM) ausgeführt wird, kann ein Hacker die vollständige und uneingeschränkte Kontrolle über die gesamte Windows-basierte Serverinfrastruktur erlangen. Das ist äußerst besorgniserregend . Darüber hinaus berichten Sicherheitsforscher, dass sich der Wurm „wurmartig“ ausbreitet, also selbst repliziert – ähnlich wie COVID-19, aber noch schlimmer. Er verbreitet sich mit der Geschwindigkeit von Datenpaketen im Netzwerk auf alle anderen Server, die DNS-Dienste ausführen. Lesen Sie mehr über Würmer in den Artikeln der CyberHoot Cybrary, beispielsweise über den SQL Slammer oder den Morris-Wurm (den ersten Internetwurm überhaupt).

Betroffene Systeme: Windows Server Versionen 2003 bis 2019

Was sollten Sie tun?

• Angesichts der Schwere der Sicherheitslücke und der hohen Wahrscheinlichkeit einer aktiven Ausnutzung wird Benutzern empfohlen, ihre betroffenen Windows-DNS-Server so schnell wie möglich zu patchen.
  •  
• Eine vorübergehende, aber effektive Problemumgehung, wenn Sie den Patch nicht sofort installieren können, besteht darin, eine Registrierungsänderung vorzunehmen, wie in diesem Abschnitt beschrieben. Knowledge Base-Artikel von Microsoft und auch unten gezeigt.

•  Achten Sie auf Schwachstellen, die in der COTS-Software Sie kaufen und in Ihrem Unternehmen verwenden. Manchmal weisen sie Schwachstellen auf, die zu einer Gefährdung Ihrer Computersysteme führen können. Behalten Sie stets die Sicherheitshinweise Ihrer Anbieter im Auge und wenden Sie Patches zeitnah an, um sicherzustellen, dass Ihre Softwareumgebung vor diesen und vielen anderen Sicherheitslücken sicher ist.

Quellen:

Microsoft-Knowledgebase-Artikel zu Patches und Workarounds

17 Jahre alte kritische „wurmfähige“ RCE-Sicherheitslücke beeinträchtigt Windows-DNS-Server

ZDNet

Pufferüberlaufangriff – CyberHoot Cybrary Term