Microsoft Security Bulletin MS05-007

Dies ist eine Sicherheitsanfälligkeit, die sich auf die Offenlegung von Informationen bezieht. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die Benutzernamen von Benutzern, die eine offene Verbindung zu einer verfügbaren freigegebenen Ressource haben, remote lesen.

•

Mit Hilfe bewährter Methoden für die Firewall und standardisierten Firewallkonfigurationen können Netzwerke vor Remoteangriffen von außerhalb des Unternehmens geschützt werden. Eine bewährte Methode besteht darin, für Systeme, die mit dem Internet verbunden sind, nur eine minimale Anzahl von Ports zu öffnen.

•

Das Anhalten oder Deaktivieren des Computerbrowserdienstes und der anschließende Neustart des Systems verringert diese Sicherheitsanfälligkeit. Es werden keine Informationen offen gelegt, wenn dieser Dienst angehalten oder deaktiviert ist. Standardmäßig wird der Computerbrowserdienst unter Windows XP Service Pack 2 nicht ausgeführt. Bei Systemen mit Windows XP Service Pack 2, die Mitglieder einer Domäne sind, ist der Computerbrowser deaktiviert. Standardmäßig ist bei Systemen mit Windows XP Service Pack 2, die keine Mitglieder einer Domäne sind, die Windows-Firewall aktiviert, und der Computerbrowser wird nicht gestartet. Falls die Windows-Firewall deaktiviert oder die Datei- und Druckerfreigabe aktiviert ist, wird der Computerbrowserdienst erfolgreich gestartet, und das System kann durch diese Sicherheitsanfälligkeit gefährdet sein.

Top of section

Microsoft hat die folgenden Problemumgehungen getestet. Diese Problemumgehungen beheben nicht die zugrunde liegende Sicherheitsanfälligkeit, sondern blockieren nur die bekannten Angriffsmethoden. Wenn die Funktionalität durch eine Problemumgehung verringert wird, so wird diese Einschränkung im folgenden Abschnitt genannt.

•	Deaktivieren des Computerbrowserdienstes Das Deaktivieren des Computerbrowserdienstes und der anschließende Neustart des betroffenen Systems trägt zum Schutz vor Angriffen von Remotestandorten aus bei, mit denen diese Sicherheitsanfälligkeit ausgenutzt wird. Sie können den Computerbrowserdienst wie folgt deaktivieren: 1. Klicken Sie auf Start, und klicken Sie dann auf Systemsteuerung (oder zeigen Sie auf Einstellungen, und klicken Sie dann auf Systemsteuerung). 2. Doppelklicken Sie auf Verwaltung. 3. Doppelklicken Sie auf Dienste. 4. Doppelklicken Sie auf Computerbrowserdienst. 5. Klicken Sie in der Liste Starttyp auf Deaktiviert. 6. Klicken Sie auf Beenden, und klicken Sie dann auf OK. 7. Damit diese Problemumgehung fehlerfrei funktioniert, muss das betroffene System neu gestartet werden. Auswirkung der Problemumgehung: Wenn der Computerbrowserdienst deaktiviert ist, wird für alle Dienste, die explizit vom Computerbrowserdienst abhängen, eine Fehlermeldung im Systemereignisprotokoll aufgezeichnet. Weitere Informationen zum Computerbrowserdienst finden Sie im Microsoft Knowledge Base-Artikel 188001.
•	Verwenden Sie Einstellungen für Gruppenrichtlinien zum Deaktivieren des Computerbrowserdienstes auf allen betroffenen Systemen, die diese Komponente nicht benötigen. Da der Computerbrowserdienst einen möglichen Angriffspunkt darstellt, sollten Sie ihn über die Einstellungen für Gruppenrichtlinien deaktivieren. Sie können den Start dieses Dienstes mit der Gruppenrichtlinienobjekt-Funktion in Windows 2000- oder Server 2003-Domänenumgebungen wahlweise auf lokaler, Site-, Domänen- oder Organisationseinheitsebene deaktivieren. Weitere Informationen zum Deaktivieren dieses Dienstes durch Anmeldeskripts finden Sie im Microsoft Knowledge Base-Artikel 297789 Hinweis: Sie können auch das Sicherheitshandbuch Windows 2000 zurate ziehen. Dieses Handbuch enthält Informationen zum Deaktivieren von Diensten. Weitere Informationen zu Gruppenrichtlinien finden Sie auf den folgenden Websites: • Schrittweise Anleitung zu den Grundlagen der Gruppenrichtlinienfunktionen • Windows 2000-Gruppenrichtlinie • Gruppenrichtlinien in Windows Server 2003 Auswirkung der Problemumgehung: Wenn der Computerbrowserdienst deaktiviert ist, wird für alle Dienste, die explizit vom Computerbrowserdienst abhängen, eine Fehlermeldung im Systemereignisprotokoll aufgezeichnet. Weitere Informationen zum Computerbrowserdienst finden Sie im Microsoft Knowledge Base-Artikel 188001.
•	Blockieren Sie die TCP-Ports 139 und 445 an der Firewall: Diese Ports werden zum Einleiten einer Verbindung mit dem betroffenen Protokoll verwendet. Das Blockieren dieser Ports an der Firewall schützt Systeme hinter dieser Firewall vor Angriffen, die diese Sicherheitsanfälligkeit auszunutzen versuchen. Wir empfehlen das Blockieren der gesamten unerwünschten eingehenden Kommunikation aus dem Internet. So können Sie Angriffe verhindern, bei denen möglicherweise andere Ports verwendet werden. Weitere Informationen zu den verwendeten Ports finden Sie auf der folgenden Website.
•	Verwenden Sie eine persönliche Firewall, beispielsweise die Internetverbindungsfirewall, die im Lieferumfang von Windows XP enthalten ist und bei der die Option „Datei- und Druckerfreigabe für Microsoft-Netzwerke“ nicht aktiviert wird. Standardmäßig schützt die Internetverbindungsfirewall in Windows XP Ihre Internetverbindung, indem unerwünscht eingehender Datenverkehr blockiert wird. Microsoft empfiehlt das Blockieren der gesamten unerwünschten eingehenden Kommunikation aus dem Internet. Wenn Sie die Option „Datei- und Druckerfreigabe für Microsoft-Netzwerke“ aktiviert haben, erzeugt diese Option eine Ausnahme, damit die Kommunikation über die betroffenen Ports möglich ist. Auf diese Weise wäre ein System immer noch durch diese Sicherheitsanfälligkeit gefährdet, selbst wenn die Internetverbindungsfirewall aktiviert ist. Die Ausnahme „Datei- und Druckerfreigabe für Microsoft-Netzwerke“ sollte entfernt werden, um vor dieser Sicherheitsanfälligkeit geschützt zu sein. Führen Sie die folgenden Schritte durch, um die Internetverbindungsfirewall mit dem Netzwerkinstallations-Assistenten zu aktivieren: 1. Klicken Sie auf Start und anschließend auf Systemsteuerung. 2. Klicken Sie in der Kategorienansicht (Standardansicht) auf Netzwerk- und Internetverbindungen, und klicken Sie dann auf Heimnetzwerk bzw. kleines Büronetzwerk einrichten oder ändern. Die Komponente Internetverbindungsfirewall wird aktiviert, wenn Sie im Netzwerkinstallations-Assistenten eine Konfiguration auswählen, die angibt, dass Ihr System direkt mit dem Internet verbunden ist. Führen Sie die folgenden Schritte durch, um die Internetverbindungsfirewall manuell für eine Verbindung zu konfigurieren: 1. Klicken Sie auf Start und anschließend auf Systemsteuerung. 2. Klicken Sie in der Kategorienansicht (Standardansicht) auf Netzwerk- und Internetverbindungen und dann auf Netzwerkverbindungen. 3. Klicken Sie mit der rechten Maustaste auf die Verbindung, für die Sie die Internetverbindungsfirewall aktivieren möchten, und klicken Sie dann auf Eigenschaften. 4. Deaktivieren Sie die Option Datei- und Druckerfreigabe für Microsoft-Netzwerke. 5. Klicken Sie auf die Registerkarte Erweitert. 6. Aktivieren Sie das Kontrollkästchen Diesen Computer und das Netzwerk schützen, indem das Zugreifen auf diesen Computer vom Internet eingeschränkt oder verhindert wird, und klicken Sie dann auf OK. Hinweis: Wenn Sie die Kommunikation einiger Programme und Dienste über die Firewall aktivieren möchten, klicken Sie auf der Registerkarte Erweitert auf Einstellungen, und wählen Sie dann die notwendigen Programme, Protokolle und Dienste aus.
•	Aktivieren Sie erweiterte TCP/IP-Filter auf Systemen, die diese Funktion unterstützen. Sie können erweiterte TCP/IP-Filter aktivieren, um den gesamten unerwünschten eingehenden Datenverkehr zu blockieren. Weitere Informationen zur Konfiguration von TCP/IP-Filtern finden Sie im Microsoft Knowledge Base-Artikel 309798. Diese Dokumentation bezieht sich zwar auf Windows 2000, gilt jedoch auch für Windows XP.
•	Blockieren Sie die betroffenen Ports mit IPSec auf den betroffenen Systemen. Mit Hilfe von IPSec (Internet Protocol Security) können Sie die Netzwerkkommunikation sicherer gestalten. Ausführliche Informationen zu IPSec und dem Anwenden von Filtern finden Sie im Microsoft Knowledge Base-Artikel 313190 und Microsoft Knowledge Base-Artikel 813878. Diese Dokumentation bezieht sich zwar auf Windows 2000, gilt jedoch auch für Windows XP.

Top of section

Worin genau besteht diese Sicherheitsanfälligkeit?
Dies ist eine Sicherheitsanfälligkeit, die sich auf die Offenlegung von Informationen bezieht. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die Benutzernamen von Benutzern, die eine offene Verbindung zu einer freigegebenen Ressource haben, remote lesen. Beachten Sie, dass diese Sicherheitsanfälligkeit einem Angreifer keine Codeausführung oder direkte Erhöhung von Berechtigungen ermöglicht, sondern dazu führt, dass der Angreifer nützliche Informationen sammelt, mit denen das betroffene System noch weiter gefährdet werden könnte.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Der Prozess, mit dem die betroffene Software die Authentifizierungsdaten überprüft, wenn ein Client eine anonyme Anmeldung mit Hilfe einer Named-Pipe-Verbindung vornimmt.

Was ist eine Named Pipe?
Named Pipes ermöglichen die Kommunikation zwischen Prozessen auf demselben Computer bzw. zwischen Prozessen auf verschiedenen Computern über ein Netzwerk. Zu den typischen Named-Pipe-Ressourcen gehören Dateifreigaben und Druckerfreigaben. Weitere Informationen zu Named Pipes finden Sie auf der MSDN Library-Website.

Wie kann ich feststellen, ob der Computerbrowserdienst auf meinem Server ausgeführt wird?

Standardmäßig wird der Computerbrowserdienst unter Windows XP Service Pack 1 installiert und ausgeführt. Unter Windows XP Service Pack 2 ist der Computerbrowserdienst standardmäßig deaktiviert. Anhand der folgenden Vorgehensweise können Sie feststellen, ob der Computerbrowserdienst installiert ist.

So überprüfen Sie den Computerbrowserdienst:

1.	Klicken Sie auf Start, dann auf Programme, auf Verwaltung und schließlich auf Dienste.
2.	Überprüfen Sie, ob der Computerbrowserdienst vorhanden ist.
3.	Falls der Computerbrowserdienst ausgeführt wird, deaktivieren Sie ihn gemäß den Anweisungen in diesem Security Bulletin unter „Problemumgehungen“.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die Benutzernamen von Benutzern, die eine offene Verbindung zu einer verfügbaren freigegebenen Ressource haben, remote lesen.

Wer könnte diese Sicherheitsanfälligkeit ausnutzen?
Jeder anonyme Benutzer, der eine speziell gestaltete Anforderung an das betroffene System übermitteln kann, könnte diese Sicherheitsanfälligkeit ausnutzen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Windows XP ist durch diese Sicherheitsanfälligkeit hauptsächlich betroffen. Bei anderen Betriebssystemversionen werden Kommunikationsanforderungen einer zusätzlichen Überprüfung unterzogen. Durch diese zusätzliche Überprüfung können anonyme Verbindungen erfolgreich unterbunden werden. Für diese zusätzliche Überprüfung werden Registrierungseinstellungen herangezogen, z. B. „RestrictAnonymous“. Diese Sicherheitsanfälligkeit ermöglicht die Kommunikation mit anonymen Benutzern unter Windows XP, selbst wenn die Registrierungseinstellung „RestrictAnonymous“ aktiviert ist. Nach der Installation des Sicherheitsupdates blockiert die Registrierungseinstellung „RestrictAnonymous“ unter Windows XP erfolgreich diese Art von anonymen Kommunikationsanforderungen. Weitere Informationen zur Einstellung „RestrictAnonymous“ finden Sie auf dieser Microsoft-Website.

Kann diese Sicherheitsanfälligkeit über das Internet ausgenutzt werden?
Ja. Ein Angreifer könnte diese Sicherheitsanfälligkeit über das Internet ausnutzen. Mit Hilfe bewährter Methoden für die Firewall und standardisierten Firewallkonfigurationen können Sie sich vor Remoteangriffen aus dem Internet schützen. Microsoft stellt Informationen darüber zur Verfügung, wie Sie Ihren PC schützen können:

•	Für Heimanwender
•	Für IT-Profis und Entwickler

Was bewirkt das Update?
Das Update beseitigt die Sicherheitsanfälligkeit, indem die Überprüfung der Authentifizierungsdaten durch den Prozess, den die betroffene Software verwendet, geändert wird.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Top of section

Voraussetzungen:
Dieses Sicherheitsupdate erfordert Microsoft Windows XP Service Pack 1 oder höher. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 322389.

Aufnahme in zukünftige Service Packs:
Das Update für dieses Problem wird in zukünftigen Service Packs oder Update-Rollups enthalten sein.

Informationen zur Installation

Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen:

      /help                  Anzeigen der Befehlszeilenoptionen

Installationsmodi

      /quiet                Stillen Modus verwenden (kein Benutzereingriff und keine Anzeige)

      /passive            Unbeaufsichtigten Modus verwenden (nur Fortschrittsanzeige)

      /uninstall          Paket deinstallieren

Neustartoptionen

      /norestart          Kein Neustart nach Abschluss der Installation

      /forcerestart     Neustart nach der Installation

Besondere Optionen

      /l                        Auflisten der Windows-Hotfixes oder -Updatepakete

      /o                       Überschreiben von OEM-Dateien ohne Eingabeaufforderung

      /n                       Kein Sichern der für die Deinstallation benötigten Dateien

      /f                        Schließen anderer Programme beim Herunterfahren des Computers erzwingen

      /integrate:path  Integriert das Update in die Windows-Quelldateien, die sich im angegebenen Pfad befinden

      /extract             Dateien extrahieren, ohne Setup zu starten

Hinweis: Diese Optionen können in einem Befehl kombiniert werden. Aus Gründen der Abwärtskompatibilität unterstützt das Sicherheitsupdate auch die Installationsoptionen, die von der früheren Version des Installationsprogramms verwendet wurden. Weitere Informationen zu den möglichen Installationsoptionen finden Sie im Microsoft Knowledge Base-Artikel 262841. Weitere Informationen zum Installationsprogramm Update.exe finden Sie auf der Microsoft TechNet-Website.

Informationen zur Bereitstellung

Verwenden Sie den folgenden Befehl an einer Eingabeaufforderung für Microsoft Windows XP, um das Sicherheitsupdate ohne Benutzereingriff zu installieren:

Windowsxp-kb888302-x86-enu /passive /quiet

Verwenden Sie den folgenden Befehl an einer Eingabeaufforderung für Windows XP, um das Sicherheitsupdate ohne Erzwingen eines Neustarts des Systems zu installieren:

Windowsxp-kb888302-x86-enu /norestart

Weitere Informationen zum Bereitstellen dieses Sicherheitsupdates mit Software Update Services finden Sie auf der Website zu Software Update Services.

Neustartanforderung

Für dieses Update ist kein Neustart des Computers erforderlich. Das Installationsprogramm beendet die erforderlichen Dienste, installiert das Update und startet die Dienste dann neu. Wenn jedoch die erforderlichen Dienste aus irgendwelchen Gründen nicht beendet werden können oder benötigte Dateien aktuell verwendet werden, ist für dieses Update ein Neustart des Computers erforderlich. In diesem Fall wird eine Meldung angezeigt, die über den erforderlichen Neustart informiert. Damit ein Neustart nicht unbedingt ausgeführt werden muss, beenden Sie alle betroffenen Dienste, und schließen Sie alle Anwendungen, die auf die betroffenen Dateien zugreifen, bevor Sie das Sicherheitsupdate installieren.

Informationen zur Deinstallation

Verwenden Sie zum Entfernen dieses Sicherheitsupdates die Option „Software“ in der Systemsteuerung.

Systemadministratoren können das Dienstprogramm Spuninst.exe zum Entfernen dieses Sicherheitsupdates verwenden. Das Dienstprogramm Spuninst.exe befindet sich im Ordner %Windir%\$NTUninstallKB888302$\Spuninst. Das Dienstprogramm Spuninst.exe unterstützt folgende Installationsoptionen:

      /help                 Befehlszeilenoptionen anzeigen

Installationsmodi

      /quiet                Stillen Modus verwenden (kein Benutzereingriff und keine Anzeige)

      /passive            Unbeaufsichtigten Modus verwenden (nur Fortschrittsanzeige)

Neustartoptionen

      /norestart          Kein Neustart nach Abschluss der Installation

      /forcerestart     Neustart nach der Installation

Besondere Optionen

      /f                        Schließen anderer Programme beim Herunterfahren des Computers erzwingen

Dateiinformationen

Die englische Version dieses Sicherheitsupdates besitzt die Dateiattribute, die in der folgenden Tabelle aufgelistet werden. Die Datums- und Zeitangaben für diese Dateien werden in UTC (Universal Time Coordinated) aufgeführt. Wenn Sie die Dateiinformationen anzeigen, werden diese in lokale Zeitangaben umgewandelt. Um die Differenz zwischen UTC und der Ortszeit zu ermitteln, verwenden Sie die Registerkarte Zeitzone des Tools „Datum und Uhrzeit“ in der Systemsteuerung.

Windows XP Home Edition Service Pack 1, Windows XP Professional Service Pack 1, Windows XP Tablet PC Edition, Windows XP Media Center Edition, Windows XP Home Edition Service Pack 2, Windows XP Professional Service Pack 2, Windows XP Tablet PC Edition 2005, Windows XP Media Center Edition 2005:

Windows XP 64-Bit Edition Service Pack 1 (Itanium):

Hinweis: Die Version für Windows XP dieses Sicherheitsupdates liegt als Dualmodus-Paket vor. Dualmodus-Pakete enthalten Dateien für die Originalversion von Windows XP Service Pack 1 (SP1) sowie für Windows XP Service Pack 2 (SP2).

Weitere Informationen zu Dualmodus-Paketen finden Sie im Microsoft Knowledge Base-Artikel 328848.

Wenn Sie dieses Sicherheitsupdate auf einem Computer mit Windows XP Service Pack 2 installieren, prüft das Installationsprogramm, ob Dateien, die auf dem Computer aktualisiert werden, zuvor durch einen Microsoft-Hotfix aktualisiert wurden.

Wenn Sie zuvor einen Hotfix installiert haben, um eine betroffene Datei zu aktualisieren, geschieht je nach Betriebssystem Folgendes:

Falls Sie noch keinen Hotfix installiert haben, um eine dieser Dateien zu aktualisieren, geschieht je nach Betriebssystem Folgendes:

Weitere Informationen hierzu finden Sie im Microsoft Knowledge Base-Artikel 824994.

Weitere Informationen zum Installationsprogramm Update.exe finden Sie auf der Microsoft TechNet-Website.

Weitere Informationen zu der in diesem Bulletin verwendeten Terminologie, wie z. B. Hotfix, finden Sie im Microsoft Knowledge Base-Artikel 824684.

Überprüfen der Updateinstallation