Jetzt patchen! Kritische Windows-Lücke betrifft mehr Systeme als gedacht

Inhaltsverzeichnis

Admins sollten ihre Windows-Server zügig absichern. Andernfalls könnten Angreifer Systeme attackieren und Schadcode ausführen. Wie sich nun herausgestellt hat, ist die Angriffsfläche größer als bislang gedacht.

Schadcode mit Kernel-Rechten

Im Fokus steht eine als "kritisch“ eingestufte Sicherheitslücke (CVE-2021-31166), die Windows 10 2004, 20H2 und Windows Server 20H2 betrifft. Die Schwachstelle hat ihren Ursprung im HTTP Protocol Stack (http-sys). Sicherheitspatches sind bereits seit Anfang Mai 2021 verfügbar.

Angreifer sollen die Lücke aus der Ferne ausnutzen können, um Schadcode mit Kernel-Rechten auszuführen. Anschließend könnte sich ein Trojaner wurmartig in Netzwerken verbreiten und noch mehr Computer infizieren. Weitere Informationen zur Lücke listet Microsoft in einer Warnmeldung auf.

Auch Systeme in Deutschland bedroht

Nun hat ein Sicherheitsforscher herausgefunden, dass auch Windows-Systeme angreifbar sind, auf denen der Windows-Remote-Management-Service (WinRM) läuft. Dieser setzt die verwundbare http-sys-Komponente ein. WinRM ist aber nur in Enterprise-Versionen von Windows standardmäßig aktiviert. Bei den Home-Ausgaben müssen Nutzer den Service optional aktivieren. Dementsprechend sind Computer in Unternehmen mehr gefährdet.

Einem Beitrag auf Twitter zufolge ist ein weiterer Sicherheitsforscher mithilfe der Suchmaschine Shodan auf über zwei Millionen über das Internet erreichbare Systeme gestoßen, die WinRM einsetzen. Davon setzen aber nicht alle die angreifbaren Windows-Server-Versionen 2004 und 20H2 ein. Knapp 62.000 Systeme sind in Deutschland im Einsatz.

Jetzt patchen!

Mittlerweile ist Exploit-Code in Umlauf. Diesen könnten Angreifer adaptieren und für Attacken einsetzen. Admins sollten also sicherstellen, dass Windows Update auf ihren Systemen aktiv ist und die aktuellen Sicherheitsupdates installiert sind.

(des)