Sicherheitsloch in Windows 2000

Eine Sicherheitslücke in allen Versionen von Windows 2000 für Server in Kombination mit dem Internet Information Server [IIS] 5.0 macht es Angreifern ziemlich einfach, die Kontrolle über den betreffenden Rechner zu übernehmen.

Schwachpunkt ist die ISAPI-Schnittstelle [Internet Service Application Programming Interface] für das Internet Printing Protocol [IPP], mit dem Druckaufträge via HTTP abgewickelt werden können.

Buffer Overrun
Dass eine einfache "Buffer Overrun"-Attacke jeden standardmäßig konfigurierten Win2k-Webserver mit IIS 5.0 dem Angreifer vollständig ausliefert, hat für hektische Betriebsamkeit bei Microsoft gesorgt.

Das MS-Security-Bulletin

Patch innerhalb von 24 Stunden

Innerhalb von 24 Stunden nachdem eEye Digital Security die Entdeckung des Bugs gemeldet hatte, war von Microsoft bereits Abhilfe verfügbar.

"Es handelt sich um eine extrem ernste Sicherheitslücke", hieß es aus Redmond, wo man sicherstellen wollte, "dass alle Kunden verstehen, wie wichtig es ist, den Patch auf ihr System aufzuspielen."

Wer dazu technisch nicht in der Lage sei, möge ganz einfach die ISAPI-Erweiterung deaktivieren.

420 Bytes genügen
Ein Druckauftrag mit Code von einer Länge von etwa 420 Bytes an die betreffende Maschine löst mit dem Überlaufen des Buffer zwar einen Absturz des IIS aus. Sobald Win2K den Webserver automatisch neu gestartet hat, ist der Rechner offen und kann über den normalen HTTP-Port 80 übernommen werden.

Das Advisory von eEye

IIS 4.0 ist nicht betroffen

Das Release des SecureIIS von eEye vor etwa zwei Wochen stopft das Sicherheitsloch automatisch - allerdings ohne dass die Coder überhaupt um die Existenz der Schwachstelle wussten.

Die weit verbreitete Version 4.0 des IIS ist von der Schwachstelle nicht betroffen.