Kein Patch für DoS-Lücke in Windows Server

 In Allgemein

Eine Denial-of-Service-Lücke klafft im Windows Internet Name Service (WINS), welche von Microsoft nicht gepatch wird, da der Aufwand zu groß sei. Stattdessen sollten man auf DNS auswiechen, sofern WINS noch genutzt wird.

WINS dient der Namensauflösung im lokalen Netzwerk und wird nur noch zur Unterstützung alter Anwendungen sowie Hardware eingesetzt. Die Sicherheitsforscher der Firma Fortinet entdeckten in der Implementierung von Windows Server 2008 bis einschließlich 2016 einen Fehler in der Speicherzuordnung, den Hacker dazu ausnutzen können, um den Dienst zum Absturz zu bringen.

Replikationsanfragen

Für den Angriff müssen lediglich mehr als drei Replikationssitzungen mit dem Befehl WREPL_REPL_UPDATE2 eröffnet werden. Nachfolgend versucht der Dienst, eine Speicherzuordnung mehrfach freizugeben, was zum Abbruch des Programms und damit zum Ausfall der Auflösung von Name führt. Es handelt sich um einen DoS-Angriff auf den betroffenen Dienst – weitere Sicherheitsprobleme entstehen nach anwesendem Kenntnisstand nicht.

Fehler tief im Code

Die Forscher stießen bereits im Winter 2016 auf das Problem und meldeten es Microsoft. Die Antwort mit der Entscheidung, wie der Software-Riese damit umgeht, ließ bis Juni 2017 auf sich warten. Laut Fortinet schreibt Microsoft: „Ein Patch würde eine vollständige Überarbeitung des Codes notwendig machen, um als vollständig angesehen werden zu können.“

Die Funktionalität von WINS sei von DNS umfassend ersetzt worden. Diese Aussage deckt sich mit den Anweisungen in Microsofts Technet: „Wenn Sie WINS noch nicht nutzen, rollen Sie es nicht aus… Wenn Sie es einsetzen, migrieren Sie zu DNS.“

Kunden von RUMPFMEDIA IT-Beratung und Dienstleistungen brauchen sich keine Gedanken machen – wir bzw. Sie nutzen bereits ausschließlich DNS.

Oliver Rumpf
Ich bin IT-Experte und betreue kleine bis mittelständige Unternehmen in Berlin und Brandenburg. Seit 1994 zieht mich die Welt der Computer und Server in den Bann. Schon im Kindesalter faszinierte mich das Zusammenspiel von Hard- und Software und die Entwicklung neuster Techniken.

Leave a Comment

Start typing and press Enter to search