Microsofts Patch für IIS/WebDAV macht Probleme

Vor wenigen Tagen erst stopfte Microsoft eine Sicherheitslücke im Zusammenhang mit dem Webserver Internet Information Server 5.0 und WebDAV unter Windows 2000. Dabei legte Microsoft einige Hektik an den Tag: Eine Warnung erreichte Premier Customer schon im Vorfeld. Die Eile erklärt sich wohl auch dadurch, dass Angreifer nach US-Berichten die Sicherheitslücke für ein Defacement von Websites des US-Militärs genutzt hatten.

Die an den Tag gelegte Geschwindigkeit war aber offensichtlich der Qualität des Patches abträglich: Diverse Anwender sollen mit Problemen durch den Bugfix konfrontiert worden sein, die dazu führten, dass die Windows-2000-Systeme nicht mehr ordnungsgemäß booten. Auch Leser von heise online berichteten gegenüber der Redaktion von diesen Schwierigkeiten; unter anderem führte die Korrektur der Sicherheitslücke zu Fehlermeldungen, der Kernel sei beschädigt.

Microsoft berichtet in einem aktualisierten Advisory zu der Sicherheitslücke mittlerweile ebenfalls von den Problemen mit dem Bugfix. Allerdings seien nur Kunden betroffen, die spezielle Hotfixes eingespielt hätten, die durch die Product Support Services zwischen Dezember 2001 und Februar 2002 verbreitet wurden. Anwender von Windows 2000, die Service-Pack 2, einen dieser 12 Hotfixes sowie die den Patch für die Sicherheitslücke in WebDAV/IIS installiert haben, müssen nach einem Reboot mit dem beschriebenen Fehler rechnen. Ohne die angesprochenen Hotfixes und mit Service-Pack 3 für Windows 2000 sind laut Microsoft dagegen keine Probleme zu erwarten.

Microsoft gibt in dem überarbeiteten Advisory Hinweise darauf, wie man bei Systemen, die nach dem Einspielen des Patches gegen die Sicherheitslücke nicht mehr booten wollen, Windows 2000 wieder zum Laufen bekommt. Maschinen mit Windows 2000, Service-Pack 2 und einem der angesprochenen Hotfixes benötigen zudem entweder das Service-Pack 3 oder müssen sich an den Product Support Services wenden, um den Patch einspielen zu können. (jk)