MS15-011: Sicherheitsrisiko in Gruppenrichtlinie kann Remotecodeausführung ermöglichen: 10. Februar 2015

Gilt für

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows 8 Enterprise Windows 8 Pro Windows 8 Windows RT Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Zusammenfassung

Dieses Sicherheitsupdate behebt eine privat gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung liegt in der Art und Weise vor, wie Gruppenrichtlinie Verbindungsdaten empfängt und anwendet, wenn ein in die Domäne eingebundenes System eine Verbindung zu einem Domänencontroller herstellt. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, könnte die vollständige Kontrolle über das betroffene System übernehmen. Der Angreifer könnte dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten erstellen. Benutzer mit Konten, die über weniger Systemrechte verfügen, könnten weniger betroffen sein als Benutzer, die mit Administratorrechten arbeiten.

Einführung

Microsoft hat das Sicherheitsbulletin MS15-011 veröffentlicht. Weitere Informationen zu diesem Sicherheitsbulletin:

Private Benutzer:

https://www.microsoft.com/security/pc-security/updates.aspx Überspringen Sie die Details: Laden Sie die Updates für Ihren Heimcomputer oder Laptop jetzt von der Microsoft Update-Website herunter:

https://update.microsoft.com/microsoftupdate/
IT-Profis:

https://technet.microsoft.com/library/security/MS15-011

Hilfe und Support zum Sicherheitsupdate

Hilfe beim Installieren von Updates:
Support für Microsoft Update

Sicherheitslösungen für IT-Profis:
TechNet Security – Problembehandlung und Support

Schützen Sie Ihren Windows-basierten Computer vor Viren und Schadsoftware:
Safety and Security Center

Lokaler Support entsprechend Ihrem Land:
Internationaler Support

Weitere Informationen

Hinweis: Dieses Sicherheitsupdate enthält einige Dateien, die sich im Sicherheitsupdate 3031432. Weitere Informationen finden Sie im Knowledge Base-Artikel 3031432 . Dies schließt bekannte Probleme ein.

Verhalten von untergeordneten Paketen

Kunden, die dieses Sicherheitsupdate installieren, können mit einem bekannten Problem konfrontiert werden, bei dem im Sicherheitsereignisprotokoll der Fehler 1108 anstelle des üblichen Überwachungsereignisses 4688 generiert wird. Um dieses Problem zu beheben, muss das Update 3004375 zusammen mit diesem Update (Update 3000483) installiert werden.

Hinweis: Dieses Problem trat erstmals im Sicherheitsupdate 3023266 (MS15-001) auf.

Für Windows Server 2008 R2- und Windows Server 2012-Kunden

Unter Windows Server 2008 R2 und Windows Server 2012 wird das Update 3004375 zusammen mit dem Update 3000483 installiert.

Kunden von Windows Update, Windows Server Update Services (WSUS) und Microsoft-Katalog

Update 3004375 wird automatisch und transparent zusammen mit dem Sicherheitsupdate 3000483 installiert. Update 3004375 wird separat in der Liste der installierten Updates angezeigt, wenn es in Systemsteuerung unter dem Element Software angezeigt wird. Die gleichzeitige Installation beider Pakete erfordert nur einen Neustart.

Für Download Center-Kunden

Um das bekannte Problem zu beheben, sollten Sie, wenn Sie dieses Sicherheitsupdate aus dem Microsoft Download Center für Windows Server 2008 R2 oder Windows Server 2012 herunterladen und dann installieren, sowohl Update 3000483 als auch Update 3004375 auswählen. Sie müssen beide Updates installieren, um das bekannte Problem zu beheben.

Gruppenrichtlinieneinstellungen

Für dieses Sicherheitsupdate sind die folgenden Schritte auszuführen, um sich vor der im Bulletin (MS15-011) beschriebenen Sicherheitsanfälligkeit zu schützen. Um diese Funktion zu aktivieren, muss ein Systemadministrator zusätzlich zur Installation des Sicherheitsupdates 3000483 die folgenden Gruppenrichtlinie Einstellungen vornehmen.

Der Gruppenrichtliniendienst auf domänengebundenen Windows-basierten Computern versucht automatisch, aktualisierte Sicherheitsrichtlinien aus UNC-Pfaden (Universal Naming Convention) herunterzuladen, die mit \\<Domain>\SYSVOL beginnen. Es werden alle Skripts ausgeführt, die für die Ausführung in den entsprechenden Gruppenrichtlinien-Objekten (GPOs) konfiguriert sind. In der Regel werden diese in UNC-Pfaden gespeichert, die sich mit \\<Domain>\NETLOGON befinden.

Wenn Anwendungen E/A-Anforderungen stellen, die UNC-Pfade (Uniform Naming Convention) enthalten, werden diese Anforderungen an den MUP (Multiple UNC Provider) übergeben. Das MUP wählt einen UNC-Anbieter für die Verarbeitung der E/A-Anforderung aus und leitet die Anforderung an den ausgewählten UNC-Anbieter weiter. Der ausgewählte UNC-Anbieter verarbeitet die Anforderung und gibt die Ergebnisse an die Anwendung weiter, die die Anforderung ausgestellt hat.

Wenn es böswilligen Parteien gelingt, die Kommunikation zwischen dem UNC-Anbieter und dem Zielserver zu fälschen, zu manipulieren oder umzuleiten, kann die böswillige Partei die Gruppenrichtlinie dazu veranlassen, anstelle von oder zusätzlich zu Skripts, die von Systemadministratoren ausgewählt wurden, Programme oder Skripts in böswilliger Absicht auszuführen.

Microsoft kündigt die Verfügbarkeit von UNC Hardened Access an, einem neuen Feature auf der Windows-Plattform. Um Risikominderungen gegen diesen und verwandte Angriffe bereitzustellen, verbessert dieses Feature den Schutz und die Verarbeitung von Daten, wenn Windows-basierte Computer auf UNC-Pfade zugreifen.

Wenn MUP eine E/A-Anforderung für einen UNC-Pfad empfängt, der so konfiguriert ist, dass UNC-Hardened Access erforderlich ist, berücksichtigt MUP nur UNC-Anbieter, die die Sicherheitseigenschaften unterstützen, die gemäß der UNC-Konfiguration für Hardened Access erforderlich sind.

Dieser Microsoft Knowledge Base-Artikel informiert Systemadministratoren über diese neue Funktionalität und wie sie zum Schutz von Windows-Systemen eingesetzt werden kann.

Konfigurieren des UNC-verstärkten Zugriffs über Gruppenrichtlinie

Das UNC-Feature für gehärteten Zugriff ermöglicht es, bestimmte Server oder Freigaben mit zusätzlichen Informationen zu "markieren", um MUP- und UNC-Anbieter über Sicherheitsanforderungen zu informieren, die über die Standardwerte des UNC-Anbieters hinausgehen. Insbesondere werden die folgenden drei Sicherheitseigenschaften unterstützt:

RequireMutualAuthentication=<0|1> – Wenn diese Eigenschaft auf 1 festgelegt ist, erfordert der ausgewählte UNC-Anbieter, dass der UNC-Anbieter die Identität des Remoteservers authentifizieren kann (zusätzlich zur Überprüfung der Identität des Clients durch den Server), um Spoofing-Angriffe zu blockieren.
RequireIntegrity=<0|1> – Wenn diese Eigenschaft auf 1 festgelegt ist, müssen MUP und der ausgewählte UNC-Anbieter Integritätsprüfungen verwenden, um zu erkennen, wenn Dritte Anforderungen oder Antworten während der Übertragung zwischen Client und Server manipulieren, um Manipulationsangriffe zu blockieren.
RequirePrivacy=<0|1> – Wenn diese Eigenschaft auf 1 festgelegt ist, müssen MUP und der ausgewählte UNC-Anbieter eine Form der Verschlüsselung verwenden, die so funktioniert, dass Drittanbieter, wenn sie die Kommunikation zwischen dem Client und dem Server sehen, keine vertraulichen Informationen sehen können, die in der Kommunikation enthalten sind.

Führen Sie die folgenden Schritte aus, um den UNC-verstärkten Zugriff über Gruppenrichtlinien zu aktivieren:

Öffnen Sie die Gruppenrichtlinie-Verwaltungskonsole.
Doppelklicken Sie in der Konsolenstruktur in der Gesamtstruktur und der Domäne, die das zu erstellende oder zu bearbeitende Gruppenrichtlinien-Objekt (Group Policy Object, Gruppenrichtlinienobjekt) enthalten, auf "Gruppenrichtlinien-Objekte".

Name der Gesamtstruktur/Domänen/<Domänenname>
(Optional) Klicken Sie mit der rechten Maustaste auf "Gruppenrichtlinienobjekte", und klicken Sie dann auf "Neu".
Geben Sie den gewünschten Namen für das neue Gruppenrichtlinienobjekt ein.
Klicken Sie mit der rechten Maustaste auf das gewünschte Gruppenrichtlinienobjekt, und klicken Sie dann auf Bearbeiten.
Navigieren Sie in der Konsole des Gruppenrichtlinien-Editors zum folgenden Richtlinienpfad:

Computerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkanbieter
Klicken Sie mit der rechten Maustaste auf die Einstellung Gehärtete UNC-Pfade , und klicken Sie dann auf Bearbeiten.
Wählen Sie das Optionsfeld "Aktiviert " aus.
Scrollen Sie im Bereich "Optionen " nach unten, und klicken Sie dann auf "Anzeigen".
Fügen Sie einen oder mehrere Konfigurationseinträge hinzu. Gehen Sie hierzu folgendermaßen vor:
1. Geben Sie in der Spalte Wertname den UNC-Pfad ein, den Sie konfigurieren möchten. Der UNC-Pfad kann in einer der folgenden Formen angegeben werden:
  - \\<Server>\<Share> - Der Konfigurationseintrag gilt für die Freigabe mit dem angegebenen Namen auf dem angegebenen Server.
  - \\*\<Share> - Der Konfigurationseintrag gilt für die Freigabe mit dem angegebenen Namen auf einem beliebigen Server.
  - \\Server<>\* – Der Konfigurationseintrag gilt für jede Freigabe auf dem angegebenen Server.
  - \\<Server> - identisch mit \\Server<>\*
  Hinweis Es muss ein bestimmter Server- oder Freigabename angegeben werden. Alle Platzhalterpfade wie \\* und \\*\* werden nicht unterstützt.
2. Geben Sie in der Spalte Wert den Namen der zu konfigurierenden Sicherheitseigenschaft ein (z. B. Typ RequireMutualAuthentication, RequireIntegrity oder RequirePrivacy), gefolgt von einem Gleichheitszeichen (=) und der Zahl 0 oder 1.
  
  Hinweis Für einen einzelnen UNC-Pfad können mehrere Eigenschaften zugewiesen werden, indem jedes "<Eigenschaft> = <Wert>"-Paar durch ein Komma (,) getrennt wird.
Klicken Sie zweimal auf "OK ", und schließen Sie dann den GPO-Editor.
Wenn Sie zuvor ein neues Gruppenrichtlinienobjekt erstellt haben, verknüpfen Sie das Gruppenrichtlinienobjekt mit einer oder mehreren Domänen. Klicken Sie dazu mit der rechten Maustaste auf die gewünschte Domäne, klicken Sie auf Vorhandenes Gruppenrichtlinienobjekt verknüpfen, wählen Sie das neu hinzugefügte Gruppenrichtlinienobjekt aus, und klicken Sie dann auf OK.
Um das neue oder aktualisierte Gruppenrichtlinienobjekt zu testen, melden Sie sich bei einem Computer an, für den das Gruppenrichtlinienobjekt gilt, und führen Sie dann den folgenden Befehl aus:

gpupdate /force
Alle Konfigurationsfehler werden unter dem folgenden Pfad in der Ereignisanzeige gemeldet:

Ereignisanzeige\Anwendungs- und Dienstprotokolle\Microsoft\Windows\NetworkProvider\Operational

Erweiterte Konfigurationsbeispiele

Wenn mehr als ein einzelner Konfigurationseintrag für eine E/A-Anforderung an einen UNC-Pfad gilt (z. B. aufgrund der Verwendung von Platzhaltereinträgen), haben Eigenschaften aus dem spezifischsten UNC-Pfad Vorrang.

Stellen Sie sich beispielsweise ein System vor, auf das die folgende UNC-Konfiguration für gehärteten Zugriff gemäß der Gruppenrichtlinie angewendet wird:

Wertname	Value
\\fileshare.contoso.com\*	RequireMutualAuthentication=1, RequireIntegrity=1
\\fileshare.contoso.com\public	RequireIntegrity=0
\\fileshare.contoso.com\secret	RequirePrivacy=1

In diesem Szenario gelten alle Eigenschaften, die für \\fileshare.contoso.com\* angegeben sind, auch für die "geheime" Freigabe. Die RequireIntegrity-Eigenschaft für die "öffentliche" Freigabe würde jedoch die RequireIntegrity-Konfiguration für \\fileshare.contoso.com\* überschreiben. Daher lautet die effektive UNC-Härtungskonfiguration für Freigaben auf fileshare.contoso.com, die als öffentlich, privat und geheim bezeichnet werden, wie folgt:

UNC-Pfad	Effektive UNC-Härtungskonfiguration
\\fileshare.contoso.com\public	RequireMutualAuthentication=1, RequireIntegrity=0
\\fileshare.contoso.com\privat	RequireMutualAuthentication=1, RequireIntegrity=1
\\fileshare.contoso.com\secret	RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1

SMB-Implementierung (Server Message Block)

Gegenseitige Authentifizierung

SMB führt die gegenseitige Authentifizierung nicht selbst durch. Stattdessen delegiert er die Aufgabe an den ausgehandelten Security Support Provider, der von Windows und dem Remoteserver unterstützt wird. Wenn der Sicherheitsdienst angibt, dass die gegenseitige Authentifizierung zwischen Client und Server nicht erfolgreich war, lässt der SMB-Client den Zugriff auf Pfade auf dem Server nicht zu, die für die gegenseitige Authentifizierung konfiguriert sind.

Hinweis: Die gegenseitige Authentifizierung in einer Standardinstallation von Windows ist nur verfügbar, wenn Active Directory-Domänenanmeldeinformationen über die Kerberos-Authentifizierung verwendet werden. Die NTLM-Authentifizierung unterstützt keine gegenseitige Authentifizierung. Ab Windows 7 und Windows Server 2008 R2 können Kunden SSPs von Drittanbietern installieren, die sich in NegoEx integrieren lassen, anstatt die NTLM- oder Kerberos-Authentifizierung zu verwenden.

Integrität

SMB stellt die Integrität sicher, wenn dies erforderlich ist, indem die SMB-Signatur für E/A-Anforderungen an Pfade aktiviert wird, die mithilfe von RequireIntegrity=1 konfiguriert sind. Wenn Sie RequireIntegrity=0 für einen Pfad festlegen, wird die SMB-Signatur nicht deaktiviert, wenn die Konfigurationseinstellung RequireSecuritySignatures des SMB-Clients oder des SMB-Servers aktiviert ist.

Hinweis: SMB v1-Verbindungen unterstützen nicht die Aktivierung der SMB-Signatur auf Anforderungsbasis. Wenn der SMB-Client bereits über eine offene Verbindung mit einem SMB v1-Server verfügt, der geöffnete Dateien enthält, für die keine SMB-Signatur erforderlich ist, kann der Client erst dann auf Freigaben auf diesem Server zugreifen, für die RequireIntegrity auf 1 festgelegt ist, nachdem alle anderen Handles für Dateien auf demselben Server geschlossen wurden. Daher wird empfohlen, dass auf allen Servern, die SMB v2 oder eine höhere Version nicht unterstützen (z. B. Windows Server 2003 R2 und frühere Versionen), der SMB-Server so konfiguriert ist, dass immer Sicherheitssignaturen erforderlich sind, wenn erwartet wird, dass der zuvor genannte Server Freigaben hostet, für die Clients RequireIntegrity=1 konfiguriert haben. Weitere Informationen zum Konfigurieren der SMB-Signatur auf dem SMB-Server finden Sie im folgenden Microsoft Knowledge Base-Artikel:

Übersicht über die Server Message Block-Signierung

Datenschutz

SMB stellt sicher, dass der Datenschutz gewährleistet ist, wenn dies erforderlich ist, indem die SMB-Verschlüsselung für E/A-Anforderungen an Pfade aktiviert wird, die mithilfe von RequirePrivacy=1 konfiguriert sind. Wenn Sie RequirePrivacy=0 für einen Pfad festlegen, wird die SMB-Verschlüsselung während des Freigabezugriffs nicht deaktiviert, wenn der SMB-Server so konfiguriert ist, dass die SMB-Verschlüsselung für diese Freigabe erforderlich ist.

Hinweis Die SMB-Verschlüsselung wird vom SMB-Client nur unter Windows 8, Windows Server 2012 und höher unterstützt und dann nur bei der Kommunikation mit SMB-verschlüsselungsfähigen Servern (z. B. Windows 8, Windows Server 2012 und höher). Wenn Sie RequirePrivacy=1 auf Clients konfigurieren, die keine SMB-Verschlüsselung unterstützen, oder für UNC-Pfade, die von Servern gehostet werden, die keine SMB-Verschlüsselung unterstützen, haben Sie eine Konfiguration, in der der SMB-Client nicht auf den angegebenen Pfad zugreifen kann.

Empfohlene Mindestkonfiguration für in die Domäne eingebundene Computer

Es wird empfohlen, alle NETLOGON- und SYSVOL-Freigaben so zu konfigurieren, dass sowohl gegenseitige Authentifizierung als auch Integrität erforderlich sind, um die Gruppenrichtlinie vor Spoofing- und Manipulationsangriffen zu schützen, die für eine Remotecodeausführung genutzt werden können.

Gehärtete UNC-Pfade

Wertname	Value
\\*\NETLOGON	RequireMutualAuthentication=1, RequireIntegrity=1
\\*\SYSVOL	RequireMutualAuthentication=1, RequireIntegrity=1

Anwendbarkeit von in die Domäne eingebundenen Computern

Dieses Sicherheitsupdate wird über Windows Update nur für in die Domäne eingebundene Computer angeboten. DLC- und WSUS-Kunden sollten dieses Sicherheitsupdate nur auf in die Domäne eingebundene Computer anwenden.

Windows Server 2003 SP2

Wir haben festgestellt, dass die Implementierung dieser Änderungen in Windows Server 2003 SP2 so umfassende Architekturänderungen erfordern würde, dass sie das System destabilisieren und zu Anwendungskompatibilitätsproblemen führen würden. Wir empfehlen weiterhin sicherheitsbewussten Kunden, ein Upgrade auf unsere neuesten Betriebssysteme vorzunehmen, um mit Sicherheitsbedrohungen Schritt zu halten und von einem robusten, modernen Betriebssystemschutz zu profitieren.

Informationen zur Bereitstellung von Sicherheitsupdates

Windows Vista (alle Editionen)Referenztabelle