Zerologon-Lücke in Windows Server: US-Regierung hat vier Tage Zeit zum Patchen

Admins der US-Regierung haben eine Anweisung erhalten, Windows Server in US-Regierungsstellen innerhalb von vier Tagen zu patchen. Der Grund dafür ist eine als "kritisch" eingestufte Sicherheitslücke (CVE-2020-1472) mit Höchstwertung (CVSS Score 10 von 10). Die Lücke sollten Admins weltweit ernst nehmen und die verfügbaren Sicherheitsupdates installieren.

Die Notfall-Richtlinie stammt von der Cybersecurity and Infrastructure Security Agency (CISA) und sie wurde am 18. September 2020 verhängt. Regierungs-Admins haben demzufolge bis zum 21. September Zeit, Systeme abzusichern. Setzen Angreifer erfolgreich an der Lücke an, könnten sie als Admins ganze Domänen übernehmen.

Gefährliche Sicherheitslücke

Die Schwachstelle betrifft das Netlogon-Protokoll. Für eine erfolgreiche Attacke müsste sich ein Angreifer über das Netlogon Remote Protocol (MS-NRPC) mit einem Domänencontroller verbinden. Dafür muss er nicht angemeldet sein. Der Zugriff auf ein verwundbares Netzwerk ist aber unabdingbar. Mehr Details zur Lücke haben Sicherheitsforscher von Secura in einem Dokument zusammengetragen.

Klappt eine Attacke, könnte ein Angreifer eigenen Code ausführen und sich zum Admin hochstufen. In einer Warnmeldung listet Microsoft die betroffenen Windows-Server-Versionen auf. Dort findet man auch Informationen zu den Sicherheitsupdates.

Den Sicherheitspatch hat Microsoft bereits im August veröffentlicht. Mitte September tauchte Exploit-Code auf. Die CISA stuft die Lücke als Gefährdung der nationalen Sicherheit ein. Admins müssen nun handeln und Server aktualisieren. Ist das nicht möglich, müssen verwundbare Server vom Netz genommen werde. Die CISA fordert am 23. September 2020 einen Report über die Windows-Server-Situation ein.

(des)