Microsoft Security Bulletin MS03-026

Pufferüberlauf in RPC-Schnittstelle kann Codeausführung ermöglichen (823980)

Auf dieser Seite

	Zusammenfassung
	Technische Details
	Häufig gestellte Fragen (FAQs)
	Problemumgehungen
	Verfügbarkeit des Patches
	Weitere Sicherheitspatches

Zurück zur Übersicht

Zusammenfassung

Wer sollte dieses Bulletin lesen: Benutzer von Microsoft Windows

Auswirkungen der Sicherheitsanfälligkeiten: Verwenden von beliebigem Code durch Angreifer

Bewertung des maximalen Schweregrads: Kritisch

Empfehlung: Benutzer sollten den Patch sofort installieren.

Schützen Sie Ihren PC:
Informationen dazu, wie Sie Ihren PC schützen können, finden Sie auch auf folgenden Webseiten:

Betroffene Software:

Nicht betroffene Software:

Zum Seitenanfang

Technische Details

Technische Beschreibung:
Microsoft hat dieses Bulletin und den zugehörigen Patch erstmals am 16. Juli 2003 veröffentlicht, um eine Sicherheitsanfälligkeit zu beseitigen, die in Windows an einer DCOM-Schnittstelle (Distributed Component Object Model) mit RPC (Remote Procedure Call) besteht. Nach der Veröffentlichung wurde Microsoft darauf hingewiesen, dass die Sicherheitsanfälligkeit auch über andere RPC-Ports für Angriffe ausgenützt werden kann. Die Abschnitte "Schadensbegrenzende Faktoren" und "Problemumgehungen" wurden durch Informationen zu diesen Ports ergänzt. Darüber hinaus hat Microsoft das Security Bulletin MS03-039 sowie ein aktualisiertes Scanning-Tool veröffentlicht, die das Bulletin MS03-026 und das ursprünglich darin genannte Tool ersetzen.

Das neue Tool aus dem Security Bulletin MS03-039 ersetzt das im Bulletin MS03-026 und im Microsoft Knowledge Base-Artikel 827363 erläuterte Tool. Falls Sie das alte Tool für das Scannen von Systemen verwenden, auf denen der Patch MS03-039 installiert ist, wird das Tool fälschlicherweise melden, dass der Patch MS03-026 nicht installiert ist. Microsoft empfiehlt Ihnen deshalb, in jedem Fall die mit dem Microsoft Knowledge Base-Artikel Das neue Tool aus dem Security Bulletin MS03-039 ersetzt das im Bulletin MS03-026 und im Microsoft Knowledge Base-Artikel 827363 erläuterte Tool. Falls Sie das alte Tool für das Scannen von Systemen verwenden, auf denen der Patch MS03-039 installiert ist, wird das Tool fälschlicherweise melden, dass der Patch MS03-026 nicht installiert ist. Microsoft empfiehlt Ihnen deshalb, in jedem Fall die mit dem Microsoft Knowledge Base-Artikel 827363 bereitgestellte neueste Version des Tools zu verwenden, um zu ermitteln, ob Ihre Systeme korrekt gepatcht sind. bereitgestellte neueste Version des Tools zu verwenden, um zu ermitteln, ob Ihre Systeme korrekt gepatcht sind.

Remote Procedure Call (RPC) ist ein Protokoll, das vom Betriebssystem Windows verwendet wird. RPC stellt einen Mechanismus für die Kommunikation zwischen Prozessen zur Verfügung, das Programmen, die auf einem Computer verwendet werden, erlaubt, Code nahtlos auf einem Remotesystem auszuführen. Das Protokoll selbst ist vom RPC-Protokoll von OSF (Open Software Foundation) abgeleitet. Es wurden jedoch einige Microsoft-spezifische Erweiterungen hinzugefügt.

Der Teil von RPC, der den Nachrichtenaustausch über TCP/IP verarbeitet, weist eine Sicherheitslücke auf. Der Fehler erfolgt durch falsche Verarbeitung ungültiger Nachrichten. Diese spezielle Sicherheitsanfälligkeit bezieht sich auf eine DCOM-Schnittstelle (Distributed Component Object Model) mit RPC, die TCP/IP-Port 135 abfragt. Diese Schnittstelle verarbeitet DCOM-Objektaktivierungsanforderungen (z. B. UNC-Pfade (Universal Naming Convention)), die von Clientcomputern an den Server gesendet werden.

Um diese Sicherheitsanfälligkeit ausnutzen zu können, müsste ein Angreifer eine speziell gestaltete Anforderung an den Remotecomputer an Port 135 senden.

Schadensbegrenzende Faktoren:

Mehr über das Sichern von RPC für Client und Server erfahren Sie in diesem Artikel.

Bewertung des Schweregrads:

Die oben getroffene Bewertung basiert auf den von der Sicherheitsanfälligkeit betroffenen Systemarten, ihren typischen Bereitstellungsmustern und den möglichen Auswirkungen, die ein Angriff der Sicherheitsanfälligkeit auf sie hat.

Kennung der Sicherheitsanfälligkeit:  CAN-2003-0352

Getestete Versionen:
Microsoft hat Windows 98, Windows 98 Second Edition, Windows Me, Windows NT 4.0, Windows NT 4.0 Terminal Server Edition, Windows 2000, Windows XP und Windows Server 2003 getestet, um einzuschätzen, inwiefern diese von der Sicherheitsanfälligkeit betroffen sind. Frühere Versionen werden nicht mehr unterstützt und sind möglicherweise ebenfalls von dieser Sicherheitsanfälligkeit betroffen.

Zum Seitenanfang

Häufig gestellte Fragen (FAQs)

Warum hat Microsoft das Bulletin überarbeitet?
Microsoft hat dieses Bulletin und den zugehörigen Patch erstmals am 16. Juli 2003 veröffentlicht, um eine Sicherheitsanfälligkeit zu beseitigen, die in Windows an einer DCOM-Schnittstelle (Distributed Component Object Model) mit RPC (Remote Procedure Call) besteht. Nach der Veröffentlichung wurde Microsoft darauf hingewiesen, dass die Sicherheitsanfälligkeit auch über andere RPC-Ports für Angriffe ausgenützt werden kann. Die Abschnitte "Schadensbegrenzende Faktoren" und "Problemumgehungen" wurden durch Informationen zu diesen Ports ergänzt. Darüber hinaus hat Microsoft das Security Bulletin MS03-039 sowie ein aktualisiertes Scanning-Tool veröffentlicht, die das Bulletin MS03-026 und das ursprünglich darin genannte Tool ersetzen. Durch die Überarbeitung möchte Microsoft also auch auf das neue Bulletin und das neue Scanning-Tool hinweisen.

Wird der Patch von Windows 2000 Service Pack 2 unterstützt?
Der Patch kann unter Windows 2000 Service Pack 2 installiert werden. Allerdings bietet Microsoft entsprechend dem Microsoft Support Lifecycle keinen Support mehr für diese Produktversion an. Außerdem wurde die Wirksamkeit des Patches unter Windows 2000 Service Pack 2 nur in minimalem Umfang gestestet. Microsoft empfiehlt Kunden, die derzeit noch Windows 2000 Service Pack 2 einsetzen, baldmöglich ein Upgrade auf eine aktuelle Produktversion durchzuführen. Die Microsoft Product Support Services werden Kunden, die den Patch unter Windows 2000 Service Pack 2 installieren, zur Verfügung stehen, falls durch die Installation ein Problem auftritt.

Wird der Patch von Windows NT 4.0 Workstation unterstützt?
Der Patch kann unter Windows NT 4.0 Workstation Service Pack 6a installiert werden. Allerdings bietet Microsoft entsprechend dem Microsoft Support Lifecycle keinen Support mehr für diese Produktversion an. Außerdem wurde die Wirksamkeit des Patches unter Windows NT 4.0 Workstation Service Pack 6a nur in minimalem Umfang gestestet. Microsoft empfiehlt Kunden, die derzeit noch Windows NT 4.0 Workstation Service Pack 6a einsetzen, baldmöglich ein Upgrade auf eine aktuelle Produktversion durchzuführen. Die Microsoft Product Support Services werden Kunden, die den Patch unter Windows NT 4.0 Workstation Service Pack 6a installieren, zur Verfügung stehen, falls durch die Installation ein Problem auftritt.

Gibt es Tools, mit denen ich feststellen kann, ob auf Computern in meinem Netzwerk der Patch MS03-026 nicht installiert ist?
Ja. Microsoft hat ein Tool veröffentlicht, mit dem Sie Ihr Netzwerk nach Computern durchsuchen können, auf denen der Microsoft Security Patch MS03-026 oder der neu veröffentlichte Patch MS03-039 nicht installiert ist. Informationen zur neuen Version des kostenlosen Scanning-Tools erhalten Sie im Microsoft Knowledge Base-Artikel 827363.

Worin genau besteht die Sicherheitsanfälligkeit?
Es handelt sich bei dieser Sicherheitsanfälligkeit um einen Pufferüberlauf (Buffer Overrun). Wenn ein Angreifer diese Schwachstelle erfolgreich ausnutzen kann, kann er die vollständige Kontrolle über einen Remotecomputer erlangen. Dies ermöglicht dem Angreifer das Durchführen aller gewünschten Aktionen auf dem Server, z. B. das Ändern von Webseiten, das Neuformatieren der Festplatte oder das Hinzufügen neuer Benutzer zur Gruppe Lokale Administratoren.
Um einen solchen Angriff durchführen zu können, müsste ein Angreifer eine ungültige Nachricht an den RPC-Dienst senden können und auf diese Weise das Fehlschlagen des Zielcomputers bewirken, so dass willkürlicher Code ausgeführt werden kann.
Die beste Verteidigung gegen RPC-Remoteangriffe aus dem Internet besteht im Konfigurieren der Firewall für die Blockierung von Port 135. RPC über TCP ist nicht für den Einsatz in potenziell feindlichen Umgebungen wie dem Internet konzipiert.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Die Sicherheitsanfälligkeit ergibt sich, weil der RPC-Dienst von Windows unter bestimmten Umständen Nachrichteneingaben nicht einwandfrei überprüft. Wenn ein Angreifer eine bestimmte Art von ungültiger RPC-Nachricht sendet, nachdem RPC eine Verbindung hergestellt hat, kann dies bewirken, dass eine zugrunde liegende DCOM-Schnittstelle mit RPC auf dem Remotecomputer so fehlschlägt, dass willkürlicher Code ausgeführt werden kann.

Was ist DCOM?
DCOM (Distributed Component Object Model) ist ein Protokoll, das Softwarekomponenten die direkte Kommunikation über ein Netzwerk ermöglicht. Zuvor als "Network OLE" bezeichnet, wurde DCOM zur Verwendung mehrerer Netzwerktransportdienste entwickelt, z. B Internetprotokolle wie HTTP. Weitere Informationen zu DCOM finden Sie hier.

Was ist RPC?
RPC (Remote Procedure Call oder Remoteprozeduraufruf) ist ein Protokoll, das ein Programm zum Anfordern eines Dienstes von einem Programm verwenden kann, das sich auf einem anderen Computer in einem Netzwerk befindet. RPC unterstützt die Interoperabilität, da das Programm, das RPC verwendet, die Netzwerkprotokolle nicht kennen muss, die die Kommunikation unterstützen. In RPC stellt das anfordernde Programm den Client und das den Dienst anbietende Programm den Server dar.

Was sind COM Internet Services (CIS) und RPC über HTTP?
Die Component Object Model (COM) Internet Services (CIS) unterstützen das DCOM-Transportprotokoll (Distributed COM), das als Tunneling Transmission Control Protocol (TCP) bekannt ist. TCP ermöglicht die Ausführung von DCOM-Anforderungen über den TCP-Port 80.
Die CIS-Dienste und ihre Nachfolger, RPC über HTTP, ermöglichen die Kommunikation zwischen Clients und Servern unter der Überwachung der meisten Proxy-Server und Firewalls. Dadurch schaffen sie die Grundlage für COM-basierte Internetszenarien.

Wie kann ich feststellen, ob die CIS-Dienste auf meinem Computer installiert sind?
Die beste Möglichkeit festzustellen, ob CIS oder RPC über HTTP installiert sind, besteht darin, den Computer nach der Datei RPCPROXY.DLL zu durchsuchen. Falls die Datei gefunden wird, sind die CIS-Dienste installiert.

So durchsuchen Sie den Computer nach Dateien: Start--> Suchen--> Dateien und Ordnern. Geben Sie den Namen der gesuchten Datei ein und klicken Sie auf Suchen. Der Suchvorgang kann einige Minuten in Anspruch nehmen, abhängig von der Größe Ihrer Festplatte.

Wo liegt der Fehler in der RPC-Implementierung von Microsoft?
Der Teil von RPC, der den Nachrichtenaustausch über TCP/IP verarbeitet, weist einen Fehler auf. Der Fehler erfolgt durch falsche Verarbeitung ungültiger Nachrichten. Dieser spezielle Fehler bezieht sich auf eine zugrunde liegende DCOM-Schnittstelle, die TCP/IP-Port 135 abfragt und über die Ports 139 und 445 erreicht werden kann. Durch das Senden einer ungültigen RPC-Nachricht könnte ein Angreifer bewirken, dass der RPC-Dienst auf dem Computer so fehlschlägt, dass willkürlicher Code ausgeführt werden kann.

Ist dies ein Fehler in der RPC-Endpunktzuordnung?
Nein. Zwar fragt die RPC-Endpunktzuordnung den TCP-Port 135 ab, der Fehler tritt jedoch in einer DCOM-Schnittstelle auf niedriger Ebene im RPC-Prozess auf. Die RPC-Endpunktzuordnung ermöglicht RPC-Clients das Ermitteln der Portnummer, die einem bestimmten RPC-Dienst aktuell zugewiesen ist. Ein Endpunkt ist ein Protokollport oder eine Named Pipe, den bzw. die die Serveranwendung auf Client-RPCs überwacht. Client/Serveranwendungen können entweder bekannte oder dynamische Ports verwenden.

Im Security Bulletin MS03-010 wird ebenfalls RPC erwähnt, allerdings konnte die Sicherheitsanfälligkeit von Windows NT 4.0 dort nicht behoben werden. Wieso ist dies jetzt möglich?
In diesem Fall liegt der Fehler in einer zugrundeliegenden DCOM-Schnittstelle zu RPC. Er betrifft nicht die gesamte RPC-Implementierung oder die RPC-Endpunktzuordnung selbst. Aus diesem Grund konnten wir das Problem beheben, ohne - wie es beim Bulletin MS03-10 der Fall gewesen wäre - große Teile des Betriebssystems Windows NT 4.0 überarbeiten zu müssen.

Wie könnten Angreifer diese Sicherheitsanfälligkeit ausnutzen?
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, könnte Code mit der Berechtigung Lokales System auf dem betroffenen System ausführen. Der Angreifer wäre in der Lage, beliebige Aktionen auf dem System auszuführen. Beispielsweise könnte er Programme installieren, Daten anzeigen, ändern bzw. löschen oder neue Konten mit vollständigen Privilegien erstellen.

Wie würden Angreifer vorgehen, um diese Sicherheitsanfälligkeit auszunutzen?
Ein Angreifer könnte diese Sicherheitsanfälligkeit ausnutzen, indem er einen Computer programmiert, der mit einem gefährdeten Server über TCP-Port 135 kommuniziert, um eine bestimmte Art von ungültiger RPC-Nachricht zu senden. Der Empfang einer solchen Nachricht kann bewirken, dass der RPC-Dienst auf dem gefährdeten Computer so fehlschlägt, dass willkürlicher Code ausgeführt werden kann.

Wer könnte diese Sicherheitsanfälligkeit ausnutzen?
Jeder Benutzer, der eine TCP-Anforderung an Port 135 auf einem betroffenen Computer übermitteln kann, könnte versuchen, diese Sicherheitsanfälligkeit auszunutzen. Da RPC-Anforderungen in allen Versionen von Windows standardmäßig aktiviert sind, bedeutet dies im Wesentlichen, dass jeder Benutzer, der eine Verbindung mit einem betroffenen Computer herstellen kann, diese Sicherheitsanfälligkeit potenziell ausnutzen kann.
Der Zugriff auf die betroffene Komponente über einen anderen Weg könnte auch möglich sein, indem z. B. durch interaktives Anmelden am System oder durch Verwenden einer anderen Anwendung auf ähnliche Weise, die Parameter lokal oder remote an die gefährdete Komponente übergeben werden.

Was bewirkt der Patch?
Der Patch behebt die Sicherheitsanfälligkeit, indem die DCOM-Schnittstelle so geändert wird, dass sie die an sie übergebenen Informationen einwandfrei überprüft.

Zum Seitenanfang

Problemumgehungen

Gibt es Möglichkeiten, das Problem zu umgehen und die Ausnutzung dieser Sicherheitsanfälligkeit zu verhindern, während ich das Patch teste bzw. bewerte?
Ja. Auch wenn Microsoft allen Kunden rät, das Patch so früh wie möglich zu installieren, gibt es mehrere Möglichkeiten, das Problem zwischenzeitlich zu umgehen und die Ausnutzung der Sicherheitsanfälligkeit zu verhindern. Es gibt keine Garantie, dass diese Problemumgehungen gegen alle möglichen Ansätze, die Anfälligkeit für einen Angriff auszunutzen, wirksam sind.
Diese Problemumgehungen sollten nur als Übergangslösungen angesehen werden, da sie lediglich zum Abwehren der Angriffe dienen, anstatt die zugrunde liegende Sicherheitsanfälligkeit zu beheben.

Zum Seitenanfang

Verfügbarkeit des Patches

Downloadadresse für diesen Patch:

Installationsplattformen:

Aufnahme in zukünftige Service Packs:
Die Fehlerbehebung für dieses Problem wird in Windows 2000 Service Pack 5, Windows XP Service Pack 2 und Windows Server 2003 Service Pack 1 enthalten sein.

Neustart erforderlich: Ja

Deinstallation des Patches möglich: Ja

Frühere Patches:

Überprüfung der Patchinstallation:

Vorsichtsmaßnahmen: Keine

Lokalisierung:
Lokalisierte Versionen dieses Patches sind unter den im Abschnitt "Verfügbarkeit des Patches" genannten Adressen verfügbar.

Zum Seitenanfang

Weitere Sicherheitspatches

Patches für andere Sicherheitsrisiken sind unter den folgenden Adressen erhältlich:

Sonstige Informationen

Danksagung:
Microsoft dankt  der Forschungsgruppe The Last Stage of Delirium Research Group, dass sie dieses Problem an uns gemeldet und zum Schutz unserer Kunden mit uns zusammengearbeitet haben.

Support:

Sicherheitsressourcen:
Die Website Microsoft TechNet-Sicherheit bietet zusätzliche Informationen zur Sicherheit der Microsoft-Produkte.

Verzichtserklärung:
Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Revisionen:

Zum Seitenanfang