Microsoft Security Bulletin MS03-024

Pufferüberlauf in Windows kann zur Beschädigung von Daten führen (817606)

Auf dieser Seite

	Zusammenfassung
	Technische Details
	Häufig gestellte Fragen (FAQs)
	Verfügbarkeit des Patches
	Weitere Sicherheitspatches

Zurück zur Übersicht

Zusammenfassung

Wer sollte dieses Bulletin lesen: Benutzer von Microsoft Windows NT, Microsoft Windows 2000 oder Microsoft Windows XP Professional

Auswirkungen der Sicherheitsanfälligkeiten: Ausführen von beliebigem Code durch Angreifer

Bewertung des maximalen Schweregrads: Hoch

Empfehlung: Sofortige Patch-Installation

Betroffene Software:

Nicht betroffene Software:

Zum Seitenanfang

Technische Details

Technische Beschreibung:
Nach der ersten Veröffentlichung dieses Bulletins hat Microsoft den Support für Windows NT 4.0 Workstation und Windows 2000 Service Pack 2 verlängert. Das bestehende Sicherheitsupdate für Windows NT 4.0 Server lässt sich auch unter Windows NT 4.0 Workstation installieren und wird unter diesem Betriebssystem offiziell von Microsoft unterstützt. Das Sicherheitsupdate für Windows 2000 Service Pack 2 ist über die Microsoft Product Support Services erhältlich.

SMB (Server Message Block) ist das Internetstandardprotokoll, das Windows zum Freigeben von Dateien, Druckern und seriellen Anschlüssen sowie zur Kommunikation zwischen Computern über Named Pipes und Mailslots verwendet. In einer Netzwerkumgebung stellen Server Clients Dateisysteme und Ressourcen zur Verfügung. Clients übermitteln SMB-Anforderungen für Ressourcen, und Server nehmen SMB-Antworten vor. Dies wird als Client/Server-Protokoll für Anforderungen und Antworten beschrieben.

Bei der Überprüfung der Parameter eines SMB-Pakets durch den Server liegt ein Fehler vor. Wenn ein Clientsystem ein SMB-Paket an das Serversystem sendet, sind bestimmte Parameter enthalten, die dem Server eine Sammlung von "Anweisungen" zur Verfügung stellen. In diesem Fall überprüft der Server die Pufferlänge nicht einwandfrei, die vom Paket vorgegeben wird. Wenn der Client eine Pufferlänge angibt, die kleiner als erforderlich ist, kann ein Pufferüberlauf verursacht werden.

Indem eine besonders geformte SMB-Paketanforderung gesendet wird, könnte ein Angreifer das Auftreten eines Pufferüberlaufs bewirken. Wenn diese Sicherheitsanfälligkeit ausgenutzt wird, kann das zu einer Beschädigung der Daten, einem Systemfehler oder im schlimmsten Fall dazu führen, dass ein Angreifer Code seiner Wahl ausführen kann. Ein Angreifer müsste über ein gültiges Benutzerkonto verfügen und vom Server authentifiziert werden, um diese Sicherheitsanfälligkeit ausnutzen zu können.

Schadensbegrenzende Faktoren:

Bewertung des Schweregrads:

Die oben getroffene Bewertung basiert auf den von der Sicherheitsanfälligkeit betroffenen Systemarten, ihren typischen Bereitstellungsmustern und den möglichen Auswirkungen, die ein Angriff der Sicherheitsanfälligkeit auf sie hat.

Kennung der Sicherheitsanfälligkeit:  CAN-2003-0345

Getestete Versionen:
Microsoft hat Windows NT 4.0 Workstation, Windows NT 4.0 Server, Windows NT 4.0 Server, Terminal Server Edition, Windows 2000, Windows XP und Windows Server 2003 getestet, um einzuschätzen, inwiefern diese von der Sicherheitsanfälligkeit betroffen sind. Frühere Versionen werden nicht mehr unterstützt und sind möglicherweise ebenfalls von dieser Sicherheitsanfälligkeit betroffen.

Zum Seitenanfang

Häufig gestellte Fragen (FAQs)

Warum hat Microsoft dieses Bulletin aktualisiert?
Nach der ersten Veröffentlichung dieses Bulletins hat Microsoft den Support für Windows NT 4.0 Workstation und Windows 2000 Service Pack 2 verlängert. Das bestehende Sicherheitsupdate für Windows NT 4.0 Server lässt sich auch unter Windows NT 4.0 Workstation installieren und wird unter diesem Betriebssystem offiziell von Microsoft unterstützt. Das Sicherheitsupdate für Windows 2000 Service Pack 2 ist über die Microsoft Product Support Services erhältlich.

Worin genau besteht diese Sicherheitsanfälligkeit?
Es handelt sich um eine Sicherheitsanfälligkeit des Typs Pufferüberlauf, die zur Beschädigung von Daten oder zu einem Systemausfall führen bzw. einem Angreifer erlauben kann, Code seiner Wahl auszuführen.
Um diese Sicherheitsanfälligkeit erfolgreich auszunutzen, müsste ein Angreifer zuerst vom Server authentifiziert werden. Standardmäßig ist es nicht möglich, diese Sicherheitsanfälligkeit anonym auszunutzen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Die Sicherheitsanfälligkeit ergibt sich durch eine unzureichende Überprüfung der Puffergröße für bestimmte eingehende SMB-Pakete durch das System. SMB ist ein Client/Server-Protokoll. Wenn das Clientsystem einen SMB-Befehl an den Server sendet, sollte es die im Paket festgelegten Parameter überprüfen und entsprechend antworten. Durch diese Sicherheitsanfälligkeit überprüft das Empfängersystem die erforderliche Puffergröße nicht, bevor es antwortet. Dies kann einen Pufferüberlauf bewirken, der zur Beschädigung von Daten oder einem Systemausfall führen bzw. einem Angreifer erlauben kann, Code seiner Wahl auszuführen.

Was ist SMB?
SMB (Server Message Block) sowie der Nachfolger CIFS (Common Internet File System) ist ein Internetstandardprotokoll, das Windows zum Freigeben von Dateien, Druckern und seriellen Anschlüssen sowie zur Kommunikation zwischen Computern über Named Pipes und Mailslots verwendet. In einer Netzwerkumgebung stellen Server Clients Dateisysteme und Ressourcen zur Verfügung. Clients übermitteln SMB-Anforderungen für Ressourcen, und Server nehmen SMB-Antworten vor. Dies wird als Client/Server-Protokoll für Anforderungen und Antworten beschrieben.

Bezieht sich diese Sicherheitsanfälligkeit auch auf CIFS?
CIFS (Common Internet File System) ist ein Internetstandardprotokoll. Die hier beschriebene Sicherheitsanfälligkeit bezieht sich insbesondere auf die Implementierung des Protokolls durch Microsoft, nicht auf das Protokoll selbst.

Wo liegt der Fehler in der Implementierung des Protokolls durch Microsoft?
Bei der Überprüfung der Parameter eines SMB-Pakets durch den Server liegt ein Fehler vor. Wenn ein Clientsystem ein SMB-Paket an das Serversystem sendet, sind bestimmte Parameter enthalten, die dem Server eine Sammlung von "Anweisungen" zur Verfügung stellen. In diesem Fall überprüft der Server die Pufferlänge nicht einwandfrei, die vom Paket vorgegeben wird. Wenn der Client eine Pufferlänge angibt, die kleiner als erforderlich ist, kann ein Pufferüberlauf verursacht werden. Als Ergebnis können zufällige Daten in den Speicher geschrieben werden, was zur Beschädigung von Daten oder einem Systemausfall führen bzw. einem Angreifer erlauben kann, Code seiner Wahl auszuführen.

Wie könnten Angreifer diese Sicherheitsanfälligkeit ausnutzen?
Wenn ein Angreifer diese Sicherheitsanfälligkeit erfolgreich ausnutzt, könnte er bewirken, dass willkürliche Bereiche des Speichers überschrieben werden. Das Ergebnis könnte eine Beschädigung von Daten bzw. ein Systemausfall sein oder einem Angreifer erlauben, Code seiner Wahl auszuführen.

Welche Art von Daten kann beschädigt werden?
Beliebige Daten im Speicher können zufällig überschrieben werden. Im schlimmsten Fall kann der Systemspeicher überschrieben werden. Dies bewirkt einen Ausfall des Servers.

Wie würden Angreifer vorgehen, um diese Sicherheitsanfälligkeit auszunutzen?
Ein Angreifer könnte diese Sicherheitsanfälligkeit ausnutzen, indem er eine bestimmte ungültige SMB-Paketanforderung erstellt und diese dann an den Server sendet.

Der Angreifer benötigt zuvor einen gültigen Benutzernamen und ein Kennwort, um vom Server authentifiziert zu werden. Standardmäßig ist es nicht möglich, diese Sicherheitsanfälligkeit anonym auszunutzen.

Was bewirkt der Patch?
Der Patch behebt die Sicherheitsanfälligkeit, indem die einwandfreie Überprüfung der Parameter zum Tragen kommt, die für SMB-Pakete festgelegt werden.

Zum Seitenanfang

Verfügbarkeit des Patches

Downloadadresse für diesen Patch:

Hinweis: Das Sicherheitsupdate für Windows 2000 Service Pack 2 ist über die Microsoft Product Support Services erhältlich.

Installationsplattformen:

Aufnahme in zukünftige Service Packs:
Die Fehlerbehebung für dieses Problem ist im Windows 2000 Service Pack 4 enthalten. Zudem wird sie in das Windows XP Service Pack 2 aufgenommen.

Neustart erforderlich: Ja

Deinstallation des Patches möglich: Ja

Frühere Patches: Keine

Überprüfung der Patchinstallation:

Vorsichtsmaßnahmen: Keine

Lokalisierung:
Lokalisierte Versionen dieses Patches sind unter den im Abschnitt "Verfügbarkeit des Patches" genannten Adressen verfügbar.

Zum Seitenanfang

Weitere Sicherheitspatches

Patches für andere Sicherheitsrisiken sind unter den folgenden Adressen erhältlich:

Sonstige Informationen

Danksagung:
Microsoft dankt  Jeremy Allison und Andrew Tridgell, Samba Team, dass sie dieses Problem an uns gemeldet und zum Schutz unserer Kunden mit uns zusammengearbeitet haben.

Support:

Sicherheitsressourcen:
Die Website Microsoft TechNet-Sicherheit bietet zusätzliche Informationen zur Sicherheit der Microsoft-Produkte.

Verzichtserklärung:
Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Revisionen:

Zum Seitenanfang