Sicherheitsdienstleister Argeniss hat Details zu einer Lücke in der Sicherheitsarchitektur von Windows Server 2008 und Vista veröffentlicht. Am Donnerstag hatte Microsoft in einer Sicherheitswarnung zugeben müssen, dass es über bestimmte Serverprozesse, etwa Internet Information Server (IIS) oder SQL-Server, von außen möglich ist, die volle Kontrolle über das System zu erlangen.
Argeniss konnte demonstrieren, dass Dienste, die standardmäßig unter den Benutzern „LocalService“ oder „NetworkService“ laufen, über den Umweg des Distributed Transaction Coordinator (DTC) und des Remote Procedure Call Subsytem (RPCSS) DLLs aufrufen können, die im Sicherheitskontext des Benutzers „LocalSystem“ ausgeführt werden und somit uneingeschränkte Rechte besitzen.
Betroffen sind alle Dienste, die erlauben, dass Benutzer eigenen Code ausführen. Relevant ist dies vor allem bei Hostern, die Windows-Hosting üblicherweise so anbieten, dass Kunden eigene ASP.NET-Anwendungen verwenden können.
Durch einen einfachen Patch kann die Lücke nicht beseitigt werden, da es sich um ein generelles Problem der Architektur handelt. Benutzerrechte für Dienste sind in Windows Server 2008 zwar eingeschränkt, jedoch konnte Argeniss über Thread-Pooling an die Security-Token des RPCSS-Prozess kommen, die mit vollen Rechten ausgestattet sind.
Allen Serverbetreibern, die Benutzern erlauben, eigenen Code auszuführen, empfiehlt Argeniss, die Dienste unter einem Benutzer auszuführen, der keinerlei Administrationsrechte besitzt. So sollten Hoster grundsätzlich keine ASP.NET-Websites unter „LocalSystem“, „LocalService“ oder „NetworkService“ betreiben.
Der Umsatz steigt um 15 Prozent, der Nettogewinn um 57 Prozent. Im nachbörslichen Handel kassiert…
Aus 61,9 Milliarden Dollar generiert das Unternehmen einen Nettoprofit von 21,9 Milliarden Dollar. Das größte…
Mehr Digitalisierung wird von den Unternehmen gefordert. Für KMU ist die Umsetzung jedoch nicht trivial,…
Der Nettoprofi wächst um 117 Prozent. Auch beim Umsatz erzielt die Facebook-Mutter ein deutliches Plus.…
Vom Standpunkt eines Verbrauchers aus betrachtet, stellt sich die Frage: Wie relevant und persönlich sind…
Scamio analysiert und bewertet die Gefahren und gibt Anwendern Ratschläge für den Umgang mit einer…