Microsoft Security Bulletin MS04-039

Es handelt sich hierbei um eine Sicherheitsanfälligkeit durch Spoofing, die in den betroffenen Produkten besteht und mit der ein Angreifer vertrauenswürdigen Internetinhalt vortäuschen kann. Benutzer können denken, dass sie auf vertrauenswürdigen Internetinhalt zugreifen. In Wirklichkeit jedoch greifen sie auf schädlichen Internetinhalt zu, wie z. B. eine manipulierte Website. Damit diese Sicherheitsanfälligkeit ausgenutzt werden kann, muss ein Angreifer aber zunächst einen Benutzer dazu verleiten, die Website des Angreifers zu besuchen.

•	Diese Sicherheitsanfälligkeit lässt nicht zu, dass ein Angreifer ein SSL-Zertifikat vortäuschen kann. Ein Angreifer kann SSL-Zertifikate, die zu anderen Domänennamen gehören, nicht erfolgreich verwenden. Beispielsweise kann eine Spoof-Website nicht das SSL-Zertifikat einer vertrauenswürdigen Website nutzen, um eine SSL-Sitzung mit einem Benutzer herzustellen. Versucht die Spoof-Website es jedoch, schlägt die Authentifizierung fehl und der Benutzer erhält eine Warnmeldung.
•	Ein Angreifer muss einen Benutzer zunächst dazu verleiten, Inhalt anzuzeigen, mit dem ein Reverse-Lookup eingeleitet wird. So kann ein Angreifer beispielsweise einen Besucher zum Besuch der Website des Angreifers verleiten, indem er eine IP-Adresse verwendet, die einen Reverse-Lookup einleitet.
•	Systeme, auf denen die standardmäßige Standort- und Inhaltsregel (Zulassung von „sämtlichem Datenverkehr“ zu „allen Zielen“) aktiviert ist, sind von dieser Sicherheitsanfälligkeit nicht betroffen. Diese Regel ist jedoch im Allgemeinen im Rahmen der bewährten Sicherheitsverfahrensweisen deaktiviert. Es wird auch nicht empfohlen, sie zu aktivieren, um diese Sicherheitsanfälligkeit zu reduzieren.

Top of section

•

Stellen Sie die Größe des DNS-Cache in der betroffenen Software auf Null ein. Durch das Einstellen der DNS-Cache-Größe auf Null wird der DNS-Cache des betroffenen Systems deaktiviert. Somit wird verhindert, dass eventuell vorgetäuschte Daten aus dem Cache der betroffenen Software verwendet werden. Dies beeinträchtigt jedoch u. U. die DNS-Auflösung. Es sollte daher nur als kurzfristige Problemumgehung auf Systemen vorgenommen werden, auf denen das Sicherheitsupdate nicht installiert werden kann. Ausführliche Anleitungen zu diesem Vorgang finden Sie im Microsoft Knowledge Base-Artikel 889189. Wenn Sie vermuten, dass Ihr System von der Ausnutzung dieser Sicherheitsanfälligkeit betroffen ist, können Sie durch Löschen des Webproxy-Caches den vermutlich schädlichen Inhalt entfernen. Der Microsoft Knowledge Base-Artikel 889189 bietet ausführliche Anleitungen zu diesem Vorgang.

Top of section

Worin genau besteht diese Sicherheitsanfälligkeit?
Dies ist eine Sicherheitsanfälligkeit durch Spoofing. Aufgrund dieser Sicherheitsanfälligkeit könnte ein Angreifer vertrauenswürdigen Internetinhalt vortäuschen. Benutzer können denken, dass sie auf vertrauenswürdigen Internetinhalt zugreifen. In Wirklichkeit jedoch greifen sie auf schädlichen Internetinhalt zu, wie z. B. eine manipulierte Website. Damit diese Sicherheitsanfälligkeit ausgenutzt werden kann, muss ein Angreifer aber zunächst einen Benutzer dazu verleiten, die Website des Angreifers zu besuchen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Die von der betroffenen Software verwendete Methode zum Zwischenspeichern von Ergebnissen des Reverse-Lookups.

Was ist ein Reverse-Lookup?
Im DNS stellt ein Reverse-Lookup einen Abfragevorgang dar, mit dem die IP-Adresse eines Hostcomputers nach seinem angezeigten DNS-Domänennamen durchsucht wird. Weitere Informationen zum Reverse-Lookup finden Sie auf dieser Webseite.

Warum liegt beim Zwischenspeichern der Ergebnisse des Reverse-Lookups in der betroffenen Software ein Fehler vor?
Proxy Server 2.0 und ISA Server 2000 speichern die Ergebnisse eines Reverse-Lookups zwischen und verwenden die Ergebnisse für einen (normalen) Forward-Lookup. Dieser Ansatz setzt voraus, dass der während des Reverse-Lookups empfangene Hostname ein gültiger Hostname ist. Wenn ein Reverse-Lookup zum ersten Mal für eine IP-Adresse ausgeführt wird, könnte ein Angreifer als Antwort des Reverse-Lookups einen vorgetäuschten Domänennamen angeben, zu dem er nicht autorisiert ist. Versucht ein Benutzer dann, mit dem vom Angreifer angegebenen Domänennamen auf die Ressource zuzugreifen, wird die Anfrage des Benutzers an die falsche IP-Adresse weitergeleitet, anstatt vom gültigen Inhaltsanbieter verarbeitet zu werden.

Was ist Proxy Server 2.0?
Proxy Server 2.0 fungiert als Internetgateway für Clientcomputer. Proxyserver an sich dienen als Mittler zwischen einem privaten Netzwerk und dem Internet. Proxy Server 2.0 führt auch Zwischenspeicherungen von Internetinhalten für interne Benutzer durch, um die Leistung zu verbessern und die ausgehende Netzwerkbandbreite zu verringern.

Was ist ISA Server 2000?
ISA Server 2000 stellt eine Unternehmensfirewall sowie einen Hochleistungs-Webcache zur Verfügung. Die Firewall schützt das Netzwerk, indem sie steuert, auf welche Ressourcen und unter welchen Bedingungen über die Firewall zugegriffen werden kann. Der Webcache unterstützt die Optimierung der Netzwerkleistung, indem lokale Kopien häufig angeforderter Webinhalte gespeichert werden. ISA Server kann in drei unterschiedlichen Modi installiert werden: Firewallmodus, Cachemodus oder integrierter Modus.

Der Firewallmodus ermöglicht Administratoren die Sicherung der Netzwerkkommunikation, indem diese Regeln zur Steuerung der Kommunikation zwischen dem Unternehmensnetzwerk und dem Internet konfigurieren. Der Cachemodus verbessert die Netzwerkleistung, indem häufig aufgerufene Webseiten direkt auf dem Server gespeichert werden. Im integrierten Modus sind sämtliche Cache- und Firewallfunktionen verfügbar.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Ein Angreifer, der diese Sicherheitsanfälligkeit ausnutzt, kann vertrauenswürdigen Internetinhalt vortäuschen. Benutzer können denken, dass sie auf vertrauenswürdigen Internetinhalt zugreifen. In Wirklichkeit jedoch greifen sie auf schädlichen Internetinhalt zu, wie z. B. eine manipulierte Website. Websites sowie andere Arten von Internetinhalt können vorgetäuscht werden, wenn ein Angreifer diese Sicherheitsanfälligkeit erfolgreich ausnutzt.

Wer könnte diese Sicherheitsanfälligkeit ausnutzen?
Jeder anonyme Benutzer, der eine speziell gestaltete Webseite auf einem Client mit dem ISA Server 2000- oder Proxy Server 2.0-System anzeigen kann, kann diese Sicherheitsanfälligkeit ausnutzen.

Für ein Angriffsszenario im Web muss ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Ein Angreifer kann Benutzer zum Besuch einer Website nicht zwingen. Er muss den Benutzer zu einem Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link zur Site des Angreifers zu klicken. Es besteht ebenfalls die Möglichkeit, schädlichen Webinhalt mit Hilfe von Bannerwerbungen anzuzeigen oder Webinhalt auf andere Weise auf Clients des ISA Server 2000- oder Proxy Server 2.0-Systems zu übermitteln.

Selbst wenn ein Angreifer schädlichen Webinhalt auf einem Client des ISA Server 2000- oder Proxy Server 2.0-Systems anzeigen kann, muss der Angreifer die Antwort zum anfordernden ISA Server 2000- oder Proxy Server 2.0-System gestalten, um den Reverse-Lookup vorzutäuschen.

Kann diese Sicherheitsanfälligkeit über das Internet ausgenutzt werden?
Ja. Ein Angreifer könnte diese Sicherheitsanfälligkeit über das Internet ausnutzen.

Was bewirkt das Update?
Mit dem Update wird die Zwischenspeicherung der Ergebnisse des Reverse-Lookups in den betroffenen Produkten geändert und somit die Sicherheitsanfälligkeit beseitigt.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Top of section

Voraussetzungen
Für dieses Sicherheitsupdate ist ISA Server Service Pack 1 (SP1), ISA Server 2000 Feature Pack 1 oder ISA Server 2000 Service Pack 2 (SP2) erforderlich

Aufnahme in zukünftige Service Packs:
Das Update für dieses Problem wird in zukünftigen Service Packs enthalten sein.

Informationen zur Installation

Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen:

      /help                 Befehlszeilenoptionen anzeigen

Installationsmodi

      /quiet                Stillen Modus verwenden (kein Benutzereingriff und keine Anzeige)

      /passive            Verwenden des unbeaufsichtigten Modus (nur Fortschrittsanzeige)

      /uninstall          Paket deinstallieren

Neustartoptionen

      /norestart          Kein Neustart nach Abschluss der Installation

      /forcerestart     Neustart nach der Installation

Besondere Optionen

      /l                        Auflisten der Windows-Hotfixes oder -Updatepakete

      /o                       Überschreiben von OEM-Dateien ohne Eingabeaufforderung

      /n                       Kein Sichern der für die Deinstallation benötigten Dateien

      /f                        Erzwingen des Schließens anderer Programme beim Herunterfahren des Computers

      /extract             Dateien extrahieren, ohne Setup zu starten

Hinweis: Diese Optionen können in einem Befehl kombiniert werden. Aus Gründen der Abwärtskompatibilität unterstützt das Sicherheitsupdate auch die Installationsoptionen, die von der früheren Version des Installationsdienstprogramms verwendet wurden. Weitere Informationen zu den möglichen Installationsoptionen finden Sie im Microsoft Knowledge Base-Artikel 262841.

Informationen zur Bereitstellung

Verwenden Sie den folgenden Befehl an einer Eingabeaufforderung für ISA Server 2000, um das Sicherheitsupdate zu installieren:

Isa2000-kb888258-x86-enu.exe

Neustartanforderung

Für dieses Update ist kein Neustart des Computers erforderlich. Das Installationsprogramm beendet die erforderlichen Dienste, installiert das Update und startet die Dienste dann neu. Wenn jedoch die erforderlichen Dienste aus irgendwelchen Gründen nicht beendet werden können oder benötigte Dateien aktuell verwendet werden, ist für dieses Update ein Neustart des Computers erforderlich. In diesem Fall wird eine Meldung angezeigt, die über den erforderlichen Neustart informiert.

Informationen zur Deinstallation

Verwenden Sie zum Entfernen dieses Updates die Option „Software“ in der Systemsteuerung. Wählen Sie Sicherheitsupdate für Microsoft ISA Server 2000 (KB 888258) und klicken Sie anschließend auf „Hinzufügen/Entfernen“. Wenn Sie dieses Update unter Verwendung von ISA Server 2000 Service Pack 1 oder ISA Server 2000 Feature Pack 1 installiert haben, können Sie dieses Update deinstallieren. Haben Sie dieses Sicherheitsupdate unter Verwendung von ISA Server 2000 Service Pack 1 oder ISA Server 2000 Feature Pack 1 installiert, installieren Sie ISA Server 2000 Service Pack 2 und deinstallieren Sie dieses Update. Sie müssen dann ISA Server 2000 Service Pack 2 erneut installieren.

Dateiinformationen

Die englische Version dieses Updates besitzt die Dateiattribute (oder welche mit neuerem Datum), die in der folgenden Tabelle aufgelistet werden. Die Datums- und Zeitangaben für diese Dateien werden in UTC (Universal Time Coordinated) aufgeführt. Wenn Sie die Dateiinformationen anzeigen, werden diese in lokale Zeitangaben umgewandelt. Um die Differenz zwischen UTC und der Ortszeit zu ermitteln, verwenden Sie die Registerkarte Zeitzone des Tools „Datum und Uhrzeit“ in der Systemsteuerung.

ISA Server 2000 Service Pack 1, ISA Server Feature Pack 1, ISA Server 2000 Service Pack 2, Small Business Server 2000, Small Business Server 2000 Service Pack 1, Small Business Server 2003:

Datum        Uhrzeit  Version      Größe    Dateiname   
----------------------------------------------------------
12-Nov-2004  07:28  3.0.1200.408   185,336  Mspadmin.exe     
12-Nov-2004  07:09  3.0.1200.408   110,072  Msphlpr.dll      
12-Nov-2004  07:09  3.0.1200.408   401,912  W3proxy.exe      
12-Nov-2004  07:09  3.0.1200.408   307,192  Wspsrv.exe

Überprüfen der Updateinstallation

Voraussetzungen
Für dieses Sicherheitsupdate ist die veröffentlichte Version von Proxy Server 2.0 Service Pack 1 erforderlich.

Informationen zur Bereitstellung

Geben Sie den folgenden Befehl an einer Eingabeaufforderung ein, um das Sicherheitsupdate zu installieren:

Proxy20-KB888258-x86-enu.exe

Neustartanforderung

Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben.

Informationen zur Deinstallation

Sie können das Sicherheitsupdate für Proxy Server 2.0 Service Pack 1 mit Hilfe der Option „Software“ in der Systemsteuerung entfernen. Wählen Sie Proxy Server 2.0 Hotfix – KB888258 und klicken Sie anschließend auf „Hinzufügen/Entfernen“.

Dateiinformationen

Die englische Version dieses Updates besitzt die Dateiattribute (oder welche mit neuerem Datum), die in der folgenden Tabelle aufgelistet werden. Die Datums- und Zeitangaben für diese Dateien werden in UTC (Universal Time Coordinated) aufgeführt. Wenn Sie die Dateiinformationen anzeigen, werden diese in lokale Zeitangaben umgewandelt. Um die Differenz zwischen UTC und der Ortszeit zu ermitteln, verwenden Sie die Registerkarte Zeitzone des Tools „Datum und Uhrzeit“ in der Systemsteuerung.

Proxy Server 2.0:

Datum        Uhrzeit  Version    Größe   Dateiname
-----------------------------------------------------
27-Oct-2004  18:18  2.0.390.16   43,280  W3pcache.dll
27-Oct-2004  18:26  2.0.390.16  192,784  W3proxy.dll
27-Oct-2004  18:18  2.0.390.16   97,040  Wspsrv.exe

Hinweis: Die Dateiversionen dieser Dateien entsprechen denen aus Proxy Server 2.0 Server Pack 1. Sie können daher nicht mit Hilfe der Informationen der Dateiversionen eine erfolgreiche Installation feststellen.

Überprüfen der Updateinstallation