.Net-Server mit R/3 auf Itanium

Jetzt hat Bills ‘Trustworthy Computing’-Kampagne - oder vielmehr die damit einhergehende Jagd auf Sicherheitslücken - die Redmonder Implementierung von X.509 erreicht. Vor kurzem veröffentlichte Microsoft einen Patch, der ein Sicherheitsloch stopft, durch das ein Angreifer X.509-Krypto-Zertifikate löschen könnte (sieheiX 10/02). Nun ist ein weiteres Sicherheitsproblem in diesem Bereich bekannt geworden: Die Überprüfung der Gültigkeit eines Zertifikats ist so fehlerhaft, dass man einem Benutzer beinahe beliebig gefälschte Zertifikate unterschieben könnte.

Der konkrete Grund hierfür liegt in der so genannten CryptoAPI, deren Funktionen die Gültigkeitskette eines Zertifikats nicht richtig überprüfen. Microsoft hat einen Patch veröffentlicht, der diesen Fehler behebt - und dabei leider selbst nicht völlig problemfrei ist. Das X.509-Zertifikat, das die Redmonder verwenden, um Hardwaretreiber digital zu signieren, entspricht ebenfalls nicht ganz dem Standard, sieht somit aus wie gefälscht und wird folgerichtig nach Installation des Patches als ungültig zurückgewiesen. Die Folge sind unerfreuliche Dialogboxen bei der Einrichtung neuer Hardwarekomponenten, die dringend davon abraten, eben jene neuen Komponenten zu verwenden, um die Systemstabilität nicht zu gefährden. Microsoft arbeitet an einer neuen Version des Hotfixes (Q328145).

Das Remote Data Protocol (RDP), das beim Terminal Server zum Einsatz kommt, hat einige Schwierigkeiten im Krypto-Bereich. Die übertragenen Daten werden mit einem jeweils neu ausgehandelten symmetrischen Sitzungsschlüssel kodiert; allerdings wird die zuvor aus den Daten berechnete Prüfsumme im Klar- text mitgeschickt. Damit liegen zwar zunächst noch keine Daten offen, aber es gibt Krypto-Analyseverfahren, die aus einem verschlüsselten Text und der dazugehörigen Klartext-Prüfsumme den Schlüssel ermitteln können. Im vorliegenden Fall würde ein derart gehackter Schlüssel nur für die aktuelle Sitzung gelten, was allerdings schlimm genug ist angesichts des weit verbreiteten Benutzerverhaltens, Terminal-Server-Verbindungen über Tage hinweg offen zu halten. Betroffen ist neben Windows 2000 auch XP mit aktiviertem Remote Desktop. Bei Letzterem kommt ein Fehler in der Protokollimplementierung hinzu, der eine DoS-Attacke erlaubt (Q324380).

Drei recht kritische Sicherheitslücken sind in Microsofts Java VM entdeckt worden. Nummer eins erlaubt das Ausführen beliebigen Codes im Sicherheitskontext des Benutzers, Nummer zwei ermöglicht es einem Angreifer, beliebige DLLs zu laden und Funktionen daraus auszuführen, und Nummer drei schließlich öffnet das Scheunentor vollends und übergibt gleich die volle Kontrolle über den betroffenen Rechner nach außen. Betroffen sind alle Versionen bis einschließlich 5.0.3085. Den Patch gibt es über Windows Update (windowsupdate.microsoft.com) - und momentan anscheinend nur dort. All denen, die Windows Update nicht nutzen wollen (oder können), bleibt also nur, Java abzuschalten und sich ob eines solchen kundenunfreundlichen Verhaltens zu ärgern (Q329077).

Näheres zu den einzelnen Sicherheitsproblemen sowie die angegebenen KnowledgeBase-Artikel gibt es online. (wm)