Freigeben über

Sicherheitsbulletin

Microsoft Security Bulletin MS00-099 – Kritisch

Microsoft hat einen Patch veröffentlicht, der eine Sicherheitslücke beseitigt, die Sich auf Microsoft Windows 2000-Do Standard controller auswirkt. Die Sicherheitsanfälligkeit könnte einem böswilligen Benutzer mit physischem Zugriff auf eine Do Standard Controller erlauben, schadhafte Software darauf zu installieren.

Veröffentlicht: 20. Dezember 2000 | Aktualisiert: 31. Januar 2001

Version: 1.2

Ursprünglich veröffentlicht: 20. Dezember 2000

Zusammenfassung

Microsoft hat einen Patch veröffentlicht, der eine Sicherheitslücke beseitigt, die sich auf Microsoft® Windows® 2000-Do Standard-Controller auswirkt. Die Sicherheitsanfälligkeit könnte einem böswilligen Benutzer mit physischem Zugriff auf eine Do Standard Controller erlauben, schadhafte Software darauf zu installieren.

Betroffene Software:

  • Microsoft Windows 2000 Server

  • Microsoft Windows 2000 Advanced Server

    Hinweis: Windows 2000-Arbeitsstationen sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Sicherheitsrisikobezeichner:CAN-2001-0048

Allgemeine Informationen

Technische Details

Technische Beschreibung:

Windows 2000 bietet mehrere spezielle Betriebsmodi, die zur Startzeit ausgewählt werden können, um dem Administrator die Problembehandlung und Wiederherstellung eines Computers mit einer beschädigten Konfiguration zu ermöglichen. Einer der folgenden Verzeichnisdienstwiederherstellungsmodus ist so konzipiert, dass active Directory auf einem Do Standard Controller repariert und wiederhergestellt werden kann. Um das System in diesem Modus zu betreiben, ist ein Kennwort erforderlich. Wenn das Tool "Server konfigurieren" jedoch verwendet wurde, als der Computer ursprünglich höhergestuft wurde Standard Controller, wäre dieses Kennwort leer. Dadurch kann ein böswilliger Benutzer sich im Verzeichnisdienstwiederherstellungsmodus beim Computer anmelden. Nach der Anmeldung konnte der böswillige Benutzer Systemkomponenten ändern oder falsch installieren, die ausgeführt werden würden, wenn sich ein bona fide-Administrator anschließend auf dem Computer angemeldet hat.

Es gibt drei signifikante Milderungsfaktoren, die mit dieser Sicherheitsanfälligkeit verbunden sind:

  • Der böswillige Benutzer benötigt physischen Zugriff auf den Computer, um sich im Verzeichnisdienstwiederherstellungsmodus anzumelden. Die bewährten Methoden der Sicherheit empfehlen jedoch dringend, nicht privilegierten Benutzern physischen Zugriff auf kritische Server zu gewähren Standard Controllern. Kunden, die diese Anleitung befolgt haben, würden nicht von der Sicherheitsanfälligkeit betroffen sein.
  • Die Sicherheitsanfälligkeit tritt nur auf, wenn das Tool "Server konfigurieren" zum Höherstufen des Servers verwendet wurde Standard Controller. Wenn das DCPROMO-Tool verwendet wurde, konnte der Computer nicht von der Sicherheitsanfälligkeit betroffen sein.
  • Das Tool "Server konfigurieren" kann nur auf dem ersten Do Standard-Controller in einer Gesamtstruktur ausgeführt werden. Daher könnten keine anderen Server von der Sicherheitsanfälligkeit betroffen sein.

Ein zweiter Problembehandlungsmodus ist ebenfalls betroffen. Wenn das Kennwort für den Verzeichnisdienst-Wiederherstellungsmodus festgelegt ist, wird das Kennwort für die Wiederherstellungskonsole automatisch mit ihr synchronisiert. Daher verfügen Computer, die von dieser Sicherheitsanfälligkeit betroffen sind, sowohl für den Verzeichnisdienstwiederherstellungsmodus als auch für die Wiederherstellungskonsole über ein leeres Kennwort. Der Umfang der Sicherheitsanfälligkeit bleibt jedoch unverändert, da die Wiederherstellungskonsole besser oder schlechter einbezogen wird.

Häufig gestellte Fragen

Worum geht es in diesem Bulletin?
Microsoft Security Bulletin MS00-099 kündigt die Verfügbarkeit eines Patches an, das eine Sicherheitsanfälligkeit in Microsoft® Windows® 2000 beseitigt. Microsoft ist bestrebt, die Informationen von Kunden zu schützen, und stellt das Bulletin bereit, um Kunden über die Sicherheitsanfälligkeit und ihre Möglichkeiten zu informieren.

Was ist der Umfang der Sicherheitsanfälligkeit?
Diese Sicherheitsanfälligkeit könnte es einem böswilligen Benutzer ermöglichen, sich über ein Administratorkonto bei einem Windows 2000-Controller anzumelden Standard. Dies würde ihr die Möglichkeit geben, bösartige Software auf dem Computer zu installieren, wodurch sie möglicherweise praktisch jede Aktion an der Aktion ausführen kann Standard, einschließlich des Erstellens oder Änderns von Benutzerkonten, ändern von Informationen im Active Directory oder Ändern von Aufgaben Standard Sicherheitsrichtlinien. Die Bedingungen, unter denen die Sicherheitsanfälligkeit ausgenutzt werden könnte, sind ziemlich restriktiv:

  • Die Sicherheitsanfälligkeit tritt nur auf, wenn ein bestimmtes Tool verwendet wurde, um den Computer zu fördern Standard Controller.
  • Das Heraufstufungstool kann nur auf dem ersten Do Standard-Controller in einer Gesamtstruktur ausgeführt werden, sodass nur der erste vorgang Standard Controller von der Sicherheitsanfälligkeit betroffen sein kann.
  • Um die Sicherheitsanfälligkeit auszunutzen, benötigt der böswillige Benutzer physischen Zugriff auf den Computer, da es nur möglich ist, sich beim betroffenen Administratorkonto anzumelden, indem er den Computer neu startet.

Was verursacht die Sicherheitsanfälligkeit?
Wenn das Tool "Server konfigurieren" verwendet wird, um einen Computer zum ersten Mal zu bewerben Standard Controller in einer Gesamtstruktur, bleibt das Kennwort für den Verzeichnisdienstwiederherstellungsmodus und das Wiederherstellungskonsolenkennwort leer.

Was ist der Wiederherstellungsmodus für Verzeichnisdienste?
Windows 2000 bietet mehrere Optionen, mit denen der Serveroperator Probleme auf dem Computer beheben und reparieren kann. Wenn der Computer gestartet wird, zeigt Windows 2000 kurz ein Menü an, mit dem der Operator einen der verschiedenen Betriebsmodi auswählen kann. Jeder Der Modi unterscheidet sich geringfügig, aber im Allgemeinen sind alle darauf ausgelegt, den Computer in einen Zustand zu starten, der zwar nicht vollständig funktionsfähig ist, aber dennoch ermöglicht es dem Operator, Konfigurationsänderungen vorzunehmen und ihn in normalen Betriebszustand wiederherzustellen. Einer der Reparaturmodi, Verzeichnisdienste-Wiederherstellungsmodus, ist nur auf do Standard-Controllern verfügbar. Es wird verwendet, um dem Serveroperator das Wiederherstellen einer beschädigten Version von Active Directory mit einer Sicherungskopie zu ermöglichen. Wenn der Operator den Wiederherstellungsmodus für Verzeichnisdienste auswählt, fordert Windows 2000 ein Kennwort ein und startet den Computer dann in einem administrativen Kontext, mit dem der Operator die erforderlichen Reparaturen über Windows 2000-Befehlszeilenbefehle vornehmen kann.

Was ist mit dem Wiederherstellungsmodus für Verzeichnisdienste falsch?
Je nachdem, welches Tool der Serveroperator zum Höherstufen des Computers zu einem Do Standard Controller verwendet hat, ist es möglich, dass das Kennwort für den Verzeichnisdienstewiederherstellungsmodus leer sein kann.

Was meinen Sie mit "Fördern einer Maschine zu tun Standard Controller"?
Wenn Windows 2000 Server installiert ist, wird der Computer zunächst als Mitgliedsserver konfiguriert, ohne spezielle Berechtigungen für die Do Standard. Wenn der Administrator den Computer zu einer Standard Do Standard-Controller machen möchte, kann er dies auf zwei Arten tun: entweder durch Ausführen des DCPROMO-Tools über die Befehlszeile oder durch Starten des Verwaltungstools "Konfigurieren Ihres Servers". Wenn sie DCPROMO verwendet, geht alles wie erwartet. Im Rahmen des Heraufstufungsprozesses fordert DCPROMO ein Kennwort für den Wiederherstellungsmodus für Verzeichnisdienste an. Wenn sie sich jedoch für die Verwendung von "Server konfigurieren" entscheidet, wird das Tool nicht zur Eingabe des Kennworts aufgefordert. Stattdessen bleibt das Kennwort für den Verzeichnisdienstewiederherstellungsmodus leer.

Sie Erwähnung, dass sich diese Sicherheitsanfälligkeit nur auf den ersten Vorgang auswirkt Standard Controller in einer Gesamtstruktur. Warum?
Das Tool "Server konfigurieren" kann nur zum Erstellen des ersten Vorgangs verwendet werden Standard Controller in einer Gesamtstruktur. Alle nachfolgenden Aktionen Standard Controller müssen mit dem DCPROMO-Tool heraufgestuft werden, das von der Sicherheitsanfälligkeit nicht betroffen ist.

Sowohl DCPROMO als auch "Configure Your Server" scheinen genau dasselbe zu tun, und führen sogar denselben Assistenten aus. Warum ist es wichtig, welches Tool verwendet wird?
Die beiden Tools führen denselben Assistenten aus und sollten im Entwurf dieselbe Aktion ausführen. Tatsächlich führt das Tool "Server konfigurieren" das DCPROMO-Tool aus. Das Problem besteht darin, dass das Tool "Server konfigurieren" das Kennwort für den Verzeichnisdienstwiederherstellungsmodus nicht anfordert und ein NULL-Kennwort als Parameter an das DCPROMO-Tool übergibt. Dies führt dazu, dass das Kennwort leer bleibt. Wenn DCPROMO direkt ausgeführt wird, fordert sie ein Kennwort ein.

Was könnte ein böswilliger Benutzer tun, wenn er diese Sicherheitsanfälligkeit ausnutzt?
Wenn ein böswilliger Benutzer den Computer in den Wiederherstellungsmodus für Verzeichnisdienste neu starten konnte, konnte er sich mit dem leeren Kennwort authentifizieren und zugriff auf den Computer in einer Verwaltungskapazität erhalten. Es gibt jedoch viele Befehle, die nicht im Wiederherstellungsmodus für Verzeichnisdienste ausgeführt werden können. Daher ist das wahrscheinlichste Szenario, dass der böswillige Benutzer böswillige Systemsoftware über den Wiederherstellungsmodus des Verzeichnisdiensts installieren würde, und dann den Computer neu starten, damit er wirksam wird. Dies würde ihr die Möglichkeit geben, indirekt die vollständige administrative Kontrolle über die Maschine und die Aufgabe auszuüben Standard. Sie könnte neue Benutzer hinzufügen, die Kennwörter anderer Benutzer zurücksetzen, Active Directory-Informationen ändern oder hinzufügen und andere Aktionen ergreifen. Es ist jedoch äußerst wichtig zu beachten, dass sie physischen Zugriff auf den Computer benötigt, um ihn neu zu starten und den Verzeichnisdienste-Wiederherstellungsmodus auszuwählen . Es gibt keine Möglichkeit, diese Sicherheitsanfälligkeit remote auszunutzen. Bewährte Methoden empfehlen dringend, den normalen Benutzern physischen Zugriff zu geben Standard Controllern, da sie die Möglichkeit haben, den Computer zu manipulieren oder einfach vollständig herunterzufahren. Wenn diese Vorgehensweise befolgt wurde, konnte die Sicherheitsanfälligkeit auch auf einem betroffenen Computer nicht ausgenutzt werden.

Außerdem Erwähnung Sie, dass die Wiederherstellungskonsole ebenfalls betroffen ist. Was ist das?
Die Wiederherstellungskonsole ist ein weiterer Problembehandlungsmodus. Im Gegensatz zum Wiederherstellungsmodus für Verzeichnisdienste ist die Wiederherstellungskonsole jedoch nicht über das Startmenü verfügbar. Stattdessen ist sie als Option verfügbar, wenn der Operator die Windows 2000-Setup-CD ausführt. Wenn Setup ausgeführt wird, wird überprüft, ob bereits eine Kopie von Windows 2000 auf dem Computer vorhanden ist. Falls vorhanden, fragt Setup den Operator, ob versucht werden soll, die vorhandene Kopie zu reparieren, oder einfach eine neue Kopie zu installieren. Wenn der Operator "Reparieren" auswählt, fordert Windows 2000 ein Kennwort ein und gibt dann die Wiederherstellungskonsole ein. Zu diesem Zeitpunkt kann der Serveroperator die vorhandene Installation beheben und reparieren. Wie der Wiederherstellungsmodus für Verzeichnisdienste bietet die Wiederherstellungskonsole dem authentifizierten Benutzer die Möglichkeit, zusätzliche Software auf dem Computer zu installieren oder neu zu konfigurieren. Daher würde die Wiederherstellungskonsole dem böswilligen Benutzer eine zweite Möglichkeit geben, die gleichen Enden zu erreichen.

Warum ist die Wiederherstellungskonsole betroffen?
Wie im Knowledge Base-Artikel Q239803 beschrieben, wird beim Festlegen des Kennworts für den Wiederherstellungsmodus der Verzeichnisdienste das Kennwort für die Wiederherstellungskonsole so festgelegt, dass es übereinstimmen soll. Daher wäre auf einem betroffenen Computer sowohl das Verzeichnisdienstwiederherstellungsmodus als auch die Wiederherstellungskonsolen-Kennwörter leer.

Verschlimmert dies die Sicherheitsanfälligkeit?
Nein Die Einbindung der Wiederherstellungskonsole ändert den Umfang der Sicherheitsanfälligkeit in keiner Weise. Unabhängig davon, ob der böswillige Benutzer den Wiederherstellungsmodus für Verzeichnisdienste oder die Wiederherstellungskonsole verwendet hat, gelten alle zuvor erläuterten Einschränkungen: Nur der erste Schritt Standard Controller in der Gesamtstruktur wäre betroffen – und nur dann, wenn das Tool "Server konfigurieren" verwendet wurde, um den Computer zu fördern Standard Controller – und der böswillige Benutzer würde physischen Zugriff auf den Computer erfordern, um die Sicherheitsanfälligkeit auszunutzen.

Was macht der Patch?
Der Patch synchronisiert die Kennwörter sowohl für den Wiederherstellungsmodus des Verzeichnisdiensts als auch für die Wiederherstellungskonsole mit dem Kennwort des Administrators.

Ändert der Patch den Code im Tool "Server konfigurieren", damit er zur Eingabe eines Kennworts aufgefordert wird?
Nein In der Regel ändert es den betroffenen Code, wenn wir einen Patch bereitstellen, um die Sicherheitsanfälligkeit zu beseitigen. In diesem Fall ist dies jedoch keine funktionsfähige Lösung. Denken Sie daran, dass das Tool "Server konfigurieren" als Teil des Systemsetups ausgeführt wird. Das bedeutet, dass der Administrator das Tool lange ausgeführt hätte, bevor er die Möglichkeit hatte, den Patch anzuwenden. Aus diesem Grund ist es sinnvoller, ein Tool bereitzustellen, das anschließend ausgeführt werden kann, um die Kennwörter zu synchronisieren.

Das Bulletin besagt, dass der Fix für diese Sicherheitsanfälligkeit in Windows 2000 SP2 enthalten ist. Ändert dieser Fix den Code im Tool "Server konfigurieren"?
Nein Das Problem hier ist genau das gleiche wie in der vorherigen Frage – zum Zeitpunkt, zu dem ein Administrator das Service Pack angewendet hat, ist es wahrscheinlich, dass sie bereits "Konfigurieren Ihres Servers" ausgeführt hätte. Stattdessen synchronisiert die Service Pack 2-Installationsroutine automatisch die Kennwörter.

Gibt es noch etwas im Patch?
Ja. Der Patch stellt außerdem SETPWD bereit, ein Tool, mit dem der Systemadministrator die Kennwörter für den Verzeichnisdienstwiederherstellungsmodus und die Wiederherstellungskonsole auf jeden gewünschten Wert zurücksetzen kann. Der Patch führt eine einmalige Synchronisierung der Kennwörter durch; Mit dem SETPWD-Tool kann der Administrator anschließend die Kennwörter ändern.

Gewusst wie das SETPWD-Tool verwenden?
Die Verwendung des Tools lautet: SETPWD [/s:servername]

  • Wenn das Tool auf dem lokalen Computer ausgeführt wird, sind keine Parameter erforderlich.
  • Wenn /s angegeben ist, muss auf der Befehlszeile ein Remotecomputername angegeben werden. Sie müssen derzeit bei einem Konto angemeldet sein, das über Administratorrechte auf dem Remotecomputer verfügt, oder Sie müssen zuvor eine Sitzung mit dem Zielcomputer unter einem solchen Konto eingerichtet haben. Dies kann z. B. durch "net using" zu IPC$ erfolgen und die richtigen Anmeldeinformationen angeben. Servername ist der Name eines Remoteservers, auf dem Sie über Administratorrechte verfügen.

Knowledge Base-Artikel Q271641 enthält zusätzliche Informationen zur Verwendung des Tools.

Wirkt sich diese Sicherheitsanfälligkeit auf alle Windows 2000-Computer aus?
Nein Sie wirkt sich nur auf Windows 2000-Do Standard-Controller aus, und sogar dann gilt nur der erste Do Standard-Controller in einer Gesamtstruktur.

Wer sollte den Patch verwenden?
Kunden, die das Tool "Server konfigurieren" verwendet haben, um einen Windows 2000-Mitgliedsserver zu einer Do zu bewerben Standard Controller sollten den Patch anwenden.

Wo erhalte ich den Patch?
Der Downloadspeicherort für den Patch wird im Abschnitt "Patchverfügbarkeit" des Sicherheitsbulletins bereitgestellt.

Gewusst wie den Patch verwenden?
Der Knowledge Base-Artikel enthält detaillierte Anweisungen zum Anwenden des Patches auf Ihre Website.

Wie kann ich feststellen, ob ich den Patch richtig installiert habe?
Der Knowledge Base-Artikel Q271641 stellt ein Manifest der Dateien im Patchpaket bereit. Die einfachste Möglichkeit, zu überprüfen, ob Sie den Patch ordnungsgemäß installiert haben, besteht darin, sicherzustellen, dass diese Dateien auf Ihrem Computer vorhanden sind und dieselben Größen und Erstellungsdaten aufweisen, wie im KB-Artikel gezeigt.

Was tut Microsoft mit diesem Problem?
Microsoft hat einen Patch bereitgestellt, der die Sicherheitsanfälligkeit beseitigt.

  • Microsoft hat ein Sicherheitsbulletin und diese FAQ bereitgestellt, um Kunden ein detailliertes Verständnis der Sicherheitsanfälligkeit und des Verfahrens zur Beseitigung zu bieten.
  • Microsoft hat Kopien des Sicherheitsbulletins an alle Abonnenten des Microsoft Product Security Notification Service gesendet, einen kostenlosen E-Mail-Dienst, den Kunden verwenden können, um mit Microsoft-Sicherheitsbulletins auf dem neuesten Stand zu bleiben.
  • Microsoft hat einen Knowledge Base-Artikel veröffentlicht, in dem die Sicherheitsanfälligkeit und das Verfahren ausführlicher erläutert werden.

Wo erhalte ich weitere Informationen zu bewährten Methoden für die Sicherheit?
Die Microsoft TechNet Security-Website ist der beste Ort, um Informationen zur Microsoft-Sicherheit zu erhalten.

Gewusst wie technischen Support zu diesem Problem erhalten?
Microsoft-Produktsupportdienstekönnen Unterstützung bei diesem oder einem anderen Produktsupportproblem bereitstellen.

Patch-Verfügbarkeit

Downloadspeicherorte für diesen Patch

Weitere Informationen zu diesem Patch

Installationsplattformen: Weitere Informationen zu diesem Problem finden Sie in den folgenden Referenzen.

  • Microsoft Knowledge Base (KB)-Artikel Q271641,

    https:

Weitere Informationen:

Bestätigungen

Microsoft danke John Sherriff der Wool Research Organization of New Zealand, um uns dieses Problem zu melden und mit uns zusammenzuarbeiten, um Kunden zu schützen.

Support: Dies ist ein vollständig unterstützter Patch. Informationen zum Kontaktieren von Microsoft-Produktsupportdiensten finden Sie unter </https:https:>.

Sicherheitsressourcen: Microsoft TechNet Security

Die Website enthält zusätzliche Informationen zur Sicherheit in Microsoft-Produkten.

Haftungsausschluss:

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen:

  • Dezember 20, 2000: Bulletin Created.
  • 20. Dezember 2000: Patch zurückgezogen, um einen Fehler zu beheben, der nach der Veröffentlichung gefunden wurde.
  • 31. Januar 2001: Patch erneut veröffentlicht

Gebaut am 2014-04-18T13:49:36Z-07:00</https:>