Wie CPU-Hersteller bereits 2018 leidvoll erfahren mussten, können vergangene Design-Entscheidungen fatale Konsequenzen nach sich ziehen. Nun wurde ein fehlerhafter Programmteil für Windows-Server erkannt, der sich lange in den sich stetig weiterentwickelnden Systemen „versteckt“ hatte. Das Ergebnis ist ein massives Sicherheitsproblem.

Bemerkenswert ist die für IT-Begriffe fast ewige Geschichte: Der Ursprung des Codes konnte auf 17 Jahre zurückverfolgt werden und hat nun den Hersteller Microsoft eingeholt. Der von Check Point im Windows-Server Systemcode nachgewiesene Fehler erhält den höchsten CVSS Score von 10.0. [1]

Hochkritischer Fehler mit Fähigkeit zur Selbstverbreitung

Sowohl die Wahrscheinlichkeit einer Ausnutzung als auch die möglichen Schadensauswirkungen erhielten höchste Bewertungen. Die fehlerhafte Routine existiert seit vielen Jahren und kann über das Netzwerk ausgenutzt und weiterverbreitet werden: Der Fehler ist „wormable“. Der Bug ist im Teilsystem DNS – dem Domain-Name-System – beheimatet und kann somit von einem Server zum nächsten springen. DNS ist nicht nur ein essenzieller Teil des TCP/IP-Protokolls und für jegliche Kommunikation nötig, sondern wird auch zwischen Windows Clients und Server vorausgesetzt. Der Dienst kann somit nicht einfach eingeschränkt oder deaktiviert werden.

Eine Infektion kann sich ohne jegliche Interaktion über ein weitreichendes Netzwerk ausbreiten und ist daher hochkritisch. Mit dem Patch-Tuesday am 14. Juli wurde – zusammen mit 122 anderen Fehlerbehebungen – ein Update ausgeliefert. Es gilt daher alle Systeme so schnell als möglich zu aktualisieren. Nahezu alle gängigen Versionen Windows Server von 2003 bis 2019 sind betroffen. [2]

SIGRed: Fehler im DNS System von Microsoft

Der Fehler betrifft eine veraltete Routine, die eine Handhabung von DNS-Antworten beim Windows-DNS-Server bereitstellt. Der betroffene Nachrichtentyp ist „SIG query“ und eine inzwischen nicht mehr verwendete Methode, um die Authentizität von DNS-Antworten zu verifizieren. Wird eine Antwort größer als 64kB mit diesem Typen an einen Server zurückgeschickt, kann beliebiger Code auf dem System ausgeführt werden. Da der DNS-Dienst typischerweise nur auf wichtigen Komponenten mit den höchsten Privilegien läuft, sind höchst kritische Worst-Case-Szenarien vorstellbar. Für schnellste Reaktionen hat Microsoft einen Workaround-Guide veröffentlicht, in dem die Größe der empfangen DNS-Antworten behelfsmäßig beschränkt wird. [3]

Software und Hardware wird immer fehlerbehaftet sein

Wie Sicherheitsforscher herausfanden, ist nur der Code-Teil für Windows-Server verwundbar, nicht aber die Routinen der Windows-Clients. Dies legt den Schluss nahe, dass der Hersteller zwei getrennte Zweige für Client und Server unterhält und Fehlerbereinigungen nicht genügend austauscht. Die Forscher hielten die Veröffentlichung der im Mai gewonnen Erkenntnisse zurück, bis Microsoft ein Software-Update im Juli verteilen konnte.

SIGRed zeigt erneut, dass immer mit bisher unbekannten Fehlern in Soft- und Hardware gerechnet werden muss. Eine umfassende Planung und Vorbereitung für Fehler ist daher ein wesentlicher Teil im IT-Security-Management.