MS01-033: Ungeprüfter Puffer in ISAPI-Erweiterung kann Server beeinträchtigen

Als Teil seiner Installation installiert Internet Information Services (IIS) verschiedene ISAPI-Erweiterungen. Es handelt sich hierbei um Dynamic Link Libraries (DLLs), die erweiterte Funktionalität bereitstellen. Unter diesen DLLs befindet sich "Idq.dll", eine Komponente von Index Server (in Windows 2000 als Indexdienst bezeichnet), die Unterstützung für Verwaltungsskripts (Internet Data Administration- oder .ida-Dateien) und Internet Data Query-Dateien (.idq) bietet.

Eine Sicherheitsanfälligkeit besteht, weil "Idq.dll" einen ungeprüften Puffer in einem Codeabschnitt enthält, der eingegebene Web-Adressen verarbeitet. Ein Angreifer, der eine Websitzung mit einem Server einrichten kann, auf dem "Idq.dll" installiert ist, kann einen Pufferüberlauf-Angriff durchführen und Code auf dem Webserver ausführen. Da "Idq.dll" im Systemkontext ausgeführt wird, erhält ein Angreifer, der diese Anfälligkeit ausnutzt, die vollständige Kontrolle über den Server und kann jede gewünschte Aktion darauf durchführen.

Der Pufferüberlauf tritt ein, bevor eine Indexfunktionalität angefordert wird. Aus diesem Grund muss, obwohl "Idq.dll" eine Komponente von Index Server/Indexdienst ist, der Dienst nicht ausgeführt werden, damit ein Angreifer die Anfälligkeit ausnutzen kann. Solange die Skriptzuordnung für .idq- oder .ida-Dateien vorhanden ist und der Angreifer eine Websitzung einrichten kann, kann er die Anfälligkeit ausnutzen.

Dies stellt eindeutig eine schwerwiegende Anfälligkeit dar, und Microsoft empfiehlt allen Kunden dringend, sofortige Maßnahmen zu ergreifen. Kunden, die den Patch nicht installieren können, können ihre Systeme schützen, indem sie die Skriptzuordnungen für .idq- und .ida-Dateien über den Internetdienste-Manager in IIS entfernen. Es ist jedoch möglich, dass diese Zuordnungen automatisch neu eingerichtet werden, wenn zusätzliche Systemkomponenten hinzugefügt oder entfernt werden. Aus diesem Grund empfiehlt Microsoft allen Kunden, die IIS verwenden, den Patch zu installieren, auch wenn die Skriptzuordnungen entfernt wurden. Weitere Informationen finden Sie im FAQ-Abschnitt der folgenden Microsoft-Website:

Risiko-mindernde Faktoren

• Die Anfälligkeit kann nur ausgenutzt werden, wenn eine Websitzung mit einem betroffenen Server eingerichtet werden kann. Für Kunden, die Index Server oder den Indexdienst, aber nicht IIS installiert haben, besteht kein Risiko. Dies ist der Standardfall bei Windows 2000 Professional.
• Die Anfälligkeit kann nicht ausgenutzt werden, wenn die Skriptzuordnungen für .ida- und .idq-Dateien nicht vorhanden sind. Die Prozedur zum Entfernen der Skriptzuordnungen wird in den IIS 4.0- und IIS 5.0-Sicherheitschecklisten beschrieben. Die Zuordnungen können entweder mit der High Security Template oder mit dem Windows 2000 Internet Server Security Tool automatisch entfernt werden. Kunden sollten sich jedoch der Tatsache bewusst sein, dass durch nachfolgendes Hinzufügen oder Entfernen von Systemkomponenten die Zuordnungen neu eingerichtet werden können, wie in den FAQ beschrieben.
  
  Weitere Informationen finden Sie auf den folgenden Microsoft-Websites:

  IIS 4.0
  http://www.microsoft.com/technet/archive/security/chklist/iischk.mspx
  
  IIS 5.0
  http://www.microsoft.com/technet/prodtechnol/windows2000serv/technologies/iis/default.mspx
  
  Windows 2000 Internet Server Security Tool
  http://www.microsoft.com/technet/security/prodtech/Windows2000.mspx

• Die Fähigkeit des Angreifers, seine Kontrolle von einem beeinträchtigten Webserver auf andere Computer auszuweiten, hängt ganz erheblich von der speziellen Konfiguration des Netzwerks ab. Gemäß der empfohlenen Praxis sollte die Netzwerkarchitektur dem inhärent hohen Risiko, dem Computer in einer unkontrollierten Umgebung wie dem Internet ausgesetzt sind, Rechnung tragen, indem durch Maßnahmen wie "demilitarisierte Zonen" (DMZs), Betrieb mit minimalen Diensten und Abgrenzung gegenüber internen Netzwerken die allgemeine Gefährdung vermindert wird. Das Ergreifen derartiger Maßnahmen kann die allgemeine Gefährdung begrenzen und die Möglichkeiten eines Angreifers einschränken, den Bereich der potentiellen Beeinträchtigung auszudehnen.

Windows 2000

Installieren Sie das neueste Service Pack für Microsoft Windows 2000, um dieses Problem zu beheben. Weitere Informationen finden Sie in folgendem Artikel der Microsoft Knowledge Base: Die Lösung für dieses Problem ist auch im Windows 2000 Security Rollup Package 1 (SRP1) enthalten. Weitere Informationen über SRP1 erhalten Sie in folgendem Artikel der Microsoft Knowledge Base: Folgende Datei steht im Microsoft Download Center zum Herunterladen zur Verfügung:Ausgabedatum: Montag, 18. Juni 2001

Weitere Informationen zum Herunterladen von Microsoft-Supportdateien finden Sie in folgendem Artikel der Microsoft Knowledge Base: Hinweis: Aufgrund von Dateiabhängigkeiten erfordert dieses Hot-Fix Microsoft Windows 2000 Service Pack 1 oder höher.

Hinweis: Falls Sie Windows Management Instrumentation (WMI) verwenden, lesen Sie bitte die englische Version dieses Artikels (300972  (http://support.microsoft.com/kb/300972/EN-US/ ) ), um weitere Informationen zur Anwendung des Updates zu erhalten.

Windows NT 4.0 Server

Um dieses Problem zu beheben, beziehen Sie das hier aufgeführte einzelne Update oder beziehen Sie das Windows NT 4.0 Security Rollup Package. Weitere Informationen zum SRP erhalten Sie in folgendem Artikel der Microsoft Knowledge Base: Folgende Datei steht im Microsoft Download Center zum Herunterladen zur Verfügung:Ausgabedatum: Montag, 18. Juni 2001

Hinweis: Um die Alpha-Version dieses Updates zu erhalten, kontaktieren Sie bitte die Microsoft Product Support Services (PSS).

Weitere Informationen zum Herunterladen von Microsoft-Supportdateien finden Sie in folgendem Artikel der Microsoft Knowledge Base: Hinweis: Aufgrund von Dateiabhängigkeiten erfordert dieses Hot-Fix Microsoft Windows NT 4.0 Service Pack 6a.

Hinweis: Die Version dieses Updates vom 25. Januar 2001 ist veraltet. Falls Sie diese Version installiert haben, sollten Sie sie mit der aktuellen Version ersetzen Weitere Informationen dazu erhalten Sie in der englischen Version dieses Artikels (300972  (http://support.microsoft.com/kb/300972/EN-US/ ) ).

Windows NT Server 4.0, Terminal Server Edition

Index Server 2.0 ist ein Bestandteil des Windows NT 4.0 Option Packs, das auf Windows NT Server 4.0, Terminal Server Edition nicht unterstützt wird. Updates für Index Server 2.0 wurden bereitgestellt als Bestandteil von Windows NT Server 4.0, Terminal Server Edition, Security Rollup Package (SRP), und zwar für Kunden die das Option Pack installiert haben, um Ihre Computer während der Migration auf ein unterstütztes Betriebssystem zu schützen. Weitere Informationen über das SRP erhalten Sie in folgendem Artikel der Microsoft Knowledge Base:

Windows 2000
Microsoft hat bestätigt, dass dieses Problem zu einer gewissen Sicherheitsanfälligkeit bei Windows 2000 führen könnte. Dieses Problem wurde erstmals in Microsoft Windows 2000 Service Pack 3 behoben.

Windows NT 4.0 Server
Microsoft hat bestätigt, dass dieses Problem zu einer gewissen Sicherheitsanfälligkeit bei Windows NT 4.0 Server führen könnte.

Weitere Informationen zum Beziehen eines Hot-Fix für Windows 2000 Datacenter Server finden Sie in folgendem Artikel der Microsoft Knowledge Base:

Weitere Informationen zum Installieren mehrerer Hot-Fixes bei nur einem Neustart finden Sie in folgendem Artikel der Microsoft Knowledge Base:


Microsoft hat die neueste Software zur Virenerkennung verwendet, die zum Zeitpunkt der Bereitstellung verfügbar war, um diese Datei auf Viren zu prüfen. Nach der Bereitstellung befindet sich die Datei auf sicheren Servern, wodurch nicht autorisierte Änderungen an der Datei verhindert werden.

Bitte beachten Sie: Bei diesem Artikel handelt es sich um eine Übersetzung aus dem Englischen. Es ist möglich, dass nachträgliche Änderungen bzw. Ergänzungen im englischen Originalartikel in dieser Übersetzung nicht berücksichtigt sind. Die in diesem Artikel enthaltenen Informationen basieren auf der/den englischsprachigen Produktversion(en). Die Richtigkeit dieser Informationen in Zusammenhang mit anderssprachigen Produktversionen wurde im Rahmen dieser Übersetzung nicht getestet. Microsoft stellt diese Informationen ohne Gewähr für Richtigkeit bzw. Funktionalität zur Verfügung und übernimmt auch keine Gewährleistung bezüglich der Vollständigkeit oder Richtigkeit der Übersetzung.