Microsoft Security Bulletin MS04-019

Microsoft hat die folgenden Problemumgehungen getestet. Diese Problemumgehungen beheben nicht die zugrunde liegende Sicherheitsanfälligkeit, sondern blockieren nur die bekannten Angriffsmethoden. Wenn die Funktionalität durch eine Problemumgehung verringert wird, wird diese Einschränkung im Folgenden genannt.

Verwenden Sie Einstellungen für Gruppenrichtlinien zum Deaktivieren des Hilfsprogramm-Managers auf allen betroffenen Systemen, die dieses Feature nicht benötigen.

Da der Hilfsprogramm-Manager einen möglichen Angriffspunkt darstellt, sollten Sie ihn über die Einstellungen für Gruppenrichtlinien deaktivieren. Der Name des Prozesses des Hilfsprogramm-Managers lautet Utilman.exe. Im folgenden Leitfaden werden Informationen dazu zur Verfügung gestellt, wie mit Hilfe von Einstellungen für Gruppenrichtlinien Benutzer dazu veranlasst werden können, nur zulässige Anwendungen auszuführen.

Hinweis: Sie können auch das Handbuch Windows 2000 Hardening Guide (englischsprachig) zurate ziehen. Dieses Handbuch enthält Informationen zum Deaktivieren des Hilfsprogramm-Managers.

Auswirkung der Problemumgebung: Der Hilfsprogramm-Manager stellt einfachen Zugriff auf viele der Eingabehilfen des Betriebssystems zur Verfügung. Dieser Zugriff ist erst wieder verfügbar, nachdem die Einschränkungen entfernt wurden. Informationen zum manuellen Starten zahlreicher Eingabehilfen finden Sie auf dieser Website (englischsprachig).

Worin genau besteht diese Sicherheitsanfälligkeit?
Es handelt sich bei dieser Sicherheitsanfälligkeit um eine Erhöhung von Berechtigungen (Privilege Elevation). Nutzt ein Angreifer diese Sicherheitsanfälligkeit aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Anschließend wäre er in der Lage, beliebige Aktionen auf dem System auszuführen. So könnte er beispielsweise Programme installieren, Daten anzeigen, ändern bzw. löschen oder neue Konten mit uneingeschränkten Berechtigungen einrichten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Der vom Hilfsprogramm-Manager zum Starten von Anwendungen verwendete Prozess ist die Ursache dieser Sicherheitsanfälligkeit. Es ist möglich, dass der Hilfsprogramm-Manager Anwendungen mit Systemrechten startet.

Was ist der Hilfsprogramm-Manager?
Der Hilfsprogramm-Manager ist ein Eingabehilfen-Dienstprogramm (englischsprachig), das Benutzern das Überprüfen des Status von Eingabehilfen (zum Beispiel Microsoft Bildschirmlupe, Sprachausgabe, Bildschirmtastatur) sowie das Starten und Beenden dieser Programme ermöglicht.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Nutzt ein Angreifer diese Sicherheitsanfälligkeit aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Anschließend wäre er in der Lage, beliebige Aktionen auf dem System auszuführen. So könnte er beispielsweise Programme installieren, Daten anzeigen, ändern bzw. löschen oder neue Konten mit uneingeschränkten Berechtigungen einrichten.

Wer könnte diese Sicherheitsanfälligkeit ausnutzen?
Ein Angreifer müsste in der Lage sein, sich am System anzumelden und nach dem Starten des Hilfsprogramm-Managers ein Programm auszuführen, das eine speziell konzipierte Nachricht an den Hilfsprogramm-Manager sendet und so versucht, die Sicherheitsanfälligkeit auszunutzen.

Wie würden Angreifer vorgehen, um diese Sicherheitsanfälligkeit auszunutzen?
Um diese Sicherheitsanfälligkeit erfolgreich auszunutzen, müsste ein Angreifer zuerst den Hilfsprogramm-Manager unter Windows 2000 starten und dann eine speziell konzipierte Anwendung ausführen, die die Sicherheitsanfälligkeit ausnutzen kann. In Standardkonfigurationen von Windows 2000 wird der Hilfsprogramm-Manager zwar installiert, jedoch nicht ausgeführt. Durch diese Sicherheitsanfälligkeit kann ein Angreifer die vollständige Kontrolle über ein Windows 2000-System erlangen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Windows 2000-Systeme sind von dieser Sicherheitsanfälligkeit betroffen. Arbeitsstationen und Terminalserver, die auf Windows 2000 basieren, sind am meisten gefährdet. Server sind nur gefährdet, wenn Benutzern ohne ausreichende Verwaltungsberechtigungen erlaubt wird, sich an Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Ich verwende zwar Windows 2000, jedoch nicht den Hilfsprogramm-Manager oder die Eingabehilfen. Bin ich trotzdem von der Sicherheitsanfälligkeit betroffen?
Ja. Der Hilfsprogramm-Manager wird standardmäßig installiert und aktiviert. Der Hilfsprogramm-Manager wird jedoch nicht standardmäßig ausgeführt.

Kann diese Sicherheitsanfälligkeit über das Internet ausgenutzt werden?
Nein. Zum Durchführen eines Angriffs müsste ein Angreifer in der Lage sein, sich am jeweiligen System anzumelden, das angegriffen werden soll. Ein Angreifer kann ein Programm bei dieser Sicherheitsanfälligkeit nicht remote laden und ausführen.

Was bewirkt das Update?
Dieses Update behebt die Sicherheitsanfälligkeit, indem der Start von Anwendungen durch den Hilfsprogramm-Manager geändert wird.

In welchem Zusammenhang steht diese Sicherheitsanfälligkeit mit der Sicherheitsanfälligkeit bezüglich des Hilfsprogramm-Managers aus MS04-011?
Beide Sicherheitsanfälligkeiten betreffen den Hilfsprogramm-Manager. Dieses Update behebt jedoch eine neue Sicherheitsanfälligkeit, die nicht als Teil von MS04-011 behandelt wurde. MS04-011 bietet Schutz vor der in dem Bulletin beschriebenen Sicherheitsanfälligkeit, behebt aber nicht diese neue Sicherheitsanfälligkeit. Dieses Update ersetzt nicht MS04-011. Sie müssen dieses Update sowie das als Teil von Security Bulletin MS04-011 zur Verfügung gestellte Update installieren, um Ihr System vor beiden Sicherheitsanfälligkeiten zu schützen.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.