Sicherheitsbulletin

Microsoft Security Bulletin MS01-059 – Kritisch

Deaktivierter Puffer in universellen Plug & Play kann zu Systemkompromittierung führen

Veröffentlicht: 20. Dezember 2001 | Aktualisiert: 09. Mai 2003

Version: 1.3

Ursprünglich veröffentlicht: 20. Dezember 2001
Aktualisiert: 09. Mai 2003

Zusammenfassung

Wer sollte dieses Bulletin lesen:
Kunden, die Microsoft® Windows® ME oder XP verwenden oder den Windows XP Internet Verbinden ion Sharing-Client unter Windows 98 oder 98SE installiert haben.

Auswirkungen der Sicherheitsanfälligkeit:
Führen Sie Code der Wahl des Angreifers aus.

Maximale Schweregradbewertung:
Kritisch

Empfehlung:
Microsoft fordert alle Windows XP-Kunden nachdrücklich auf, den Patch sofort anzuwenden. Kunden, die Windows 98, 98SE oder ME verwenden, sollten den Patch anwenden, wenn die universelle Plug & Play-Unterstützung installiert und ausgeführt wird.

Betroffene Software:

  • Microsoft Windows 98
  • Microsoft Windows 98SE
  • Microsoft Windows ME
  • Microsoft Windows XP

Allgemeine Informationen

Technische Details

Technische Beschreibung:

Universelle Plug & Play (UPnP) ermöglicht Computern das Auffinden und Verwenden von netzwerkbasierten Geräten. Windows ME und XP umfassen native UPnP-Unterstützung; Windows 98 und 98SE enthalten keine native UPnP-Unterstützung, sie kann jedoch über den Internet-Verbinden ion-Freigabeclient installiert werden, der im Lieferumfang von Windows XP enthalten ist. In diesem Bulletin werden zwei Sicherheitsrisiken erläutert, die sich auf diese UPnP-Implementierungen auswirken. Obwohl die Sicherheitsrisiken nicht miteinander verbunden sind, umfassen beide, wie UPnP-fähige Computer die Ermittlung neuer Geräte im Netzwerk behandeln.

Die erste Sicherheitsanfälligkeit ist eine Pufferüberlauflücke. Es gibt einen deaktivierten Puffer in einer der Komponenten, die NOTIFY-Direktiven behandeln – Nachrichten, die die Verfügbarkeit von UPnP-fähigen Geräten im Netzwerk ankündigen. Durch das Senden einer speziell falsch formatierten NOTIFY-Direktive wäre es für einen Angreifer möglich, Code im Kontext des UPnP-Subsystems auszuführen, das mit Systemrechten unter Windows XP ausgeführt wird. (Unter Windows 98 und Windows ME wird der gesamte Code als Teil des Betriebssystems ausgeführt. Dies würde es dem Angreifer ermöglichen, die vollständige Kontrolle über das System zu erlangen.

Die zweiten Ergebnisse der Sicherheitsanfälligkeit, da die UPnP-Implementierungen die Schritte, auf die sie gehen, nicht ausreichend einschränken, um Informationen über die Verwendung eines neu entdeckten Geräts zu erhalten. Innerhalb der NOTIFY-Direktive, dass ein neues UPnP-Gerät sendet, sind Informationen, die interessierten Computern mitteilen, wo die Gerätebeschreibung erhalten werden soll, in der die Dienste aufgeführt sind, die das Gerät anbietet, und Anweisungen für die Verwendung. Im Design befindet sich die Gerätebeschreibung möglicherweise auf einem Drittanbieterserver und nicht auf dem Gerät selbst. Die UPnP-Implementierungen regeln jedoch nicht angemessen, wie dieser Vorgang ausgeführt wird, und dies führt zu zwei verschiedenen Denial-of-Service-Szenarien:

  • Ein Angreifer könnte eine NOTIFY-Direktive an einen UPnP-fähigen Computer senden und angeben, dass die Gerätebeschreibung von einem bestimmten Port auf einem bestimmten Server heruntergeladen werden soll. Wenn der Server so konfiguriert wurde, dass er einfach die Downloadanforderungen zurück an den UPnP-Dienst zurückgibt (z. B. wenn der Echodienst auf dem Port ausgeführt wurde, an den der Computer weitergeleitet wurde), kann der Computer zu einem endlosen Downloadzyklus gemacht werden, der einige oder alle Verfügbarkeiten des Systems belegen könnte. Ein Angreifer könnte diese Direktive mithilfe der IP-Adresse des Computers eines Opfers erstellen und direkt an den Computer senden. Oder er könnte diese Richtlinie an eine Broadcast- und Multicast-Do senden Standard und alle betroffenen Maschinen im Ohrschuss angreifen und einige oder alle dieser Systeme verfügbarkeit verbrauchen.
  • Ein Angreifer könnte einen Drittanbieterserver als Host für die Gerätebeschreibung in der NOTIFY-Direktive angeben. Wenn genügend Computer auf die Richtlinie geantwortet haben, könnte dies dazu führen, dass der Drittanbieterserver mit gefälschten Anforderungen in einem verteilten Denial-of-Service-Angriff überflutet wird. Wie bei dem ersten Szenario könnte ein Angreifer die Direktiven entweder direkt an das Opfer oder an eine Übertragung oder einen Multicast senden Standard.

Systemadministratoren sollten sich bewusst sein, dass der Patch neue Funktionen einführt, mit denen sie anpassen können, wie gepatchte Systeme die Geräteermittlung durchführen. Wie im Microsoft Knowledge Base-Artikel Q315056 beschrieben, bietet der Patch die Möglichkeit, den UPnP-Dienst so zu konfigurieren, dass Gerätebeschreibungen nur aus dem lokalen Subnetz, dem Subnetz oder privaten Netzwerk, dem privaten Netzwerk oder von einer beliebigen IP-Adresse heruntergeladen werden. Patchsysteme überprüfen standardmäßig nur das Subnetz oder das private Netzwerk auf Gerätebeschreibungen.

Kunden, die den Patch nicht installieren können, können ihre Systeme schützen, indem sie die UPnP-Unterstützung deaktivieren, wie in den häufig gestellten Fragen beschrieben.

Mildernde Faktoren:

Allgemein:

  • Unternehmensnetzwerke könnten durch Die Folgenden standardmäßiger Firewalling-Praktiken (insbesondere das Blockieren von Ports 1900 und 5000) vor internetbasierten Angriffen geschützt werden.
  • Heimnetzwerke, die die Internet-Verbinden ion-Freigabe verwenden, wären vor internetbasierten Angriffen geschützt, da das Internetgateway die Pakete nicht weiterleitet. Nur der Gatewaycomputer würde gefährdet sein.

Windows 98 und 98SE:

  • Es gibt keine systemeigene UPnP-Unterstützung für diese Systeme. Windows 98- und 98SE-Systeme wären nur betroffen, wenn der Internet-Verbinden ion-Freigabeclient von Windows XP auf dem System installiert wurde.
  • Windows 98- und 98SE-Computer, die den Internet-Verbinden ion-Freigabeclient aus einem Windows XP-System installiert haben, das diesen Patch bereits angewendet hat, sind nicht anfällig.

Windows ME:

  • Windows ME bietet systemeigene UPnP-Unterstützung, wird jedoch weder installiert noch standardmäßig ausgeführt. (Einige OEMs konfigurieren jedoch vordefinierte Systeme mit installiertem und ausgeführtem Dienst).

Für Windows XP:

  • Internet-Verbinden ion-Firewall, die standardmäßig aktiviert ist, wenn eine Netzwerkverbindung mit dem Internet über einen der System-Assistenten konfiguriert wird, schützt vor Angriffen mit Unicast-Nachrichten. Dies würde Angriffe nur über Übertragung oder Multicast ermöglichen, was in der Regel erfordert, dass sich der Angreifer im selben Netzwerksegment wie das anfällige System befindet.

Schweregradbewertung:

Pufferüberlauf:

Internetserver Intranetserver Clientsysteme
Windows 98, 98SE Keine Keine Mittel
Windows ME Keine Keine Mittel
Windows XP Keine Keine Kritisch

Sicherheitsanfälligkeit in Denial of Service:

Internetserver Intranetserver Clientsysteme
Windows 98, 98SE Keine Keine Mittel
Windows ME Keine Keine Mittel
Windows XP Keine Keine Mittel

Aggregierter Schweregrad aller Sicherheitsrisiken, die durch Patch eliminiert werden:

Internetserver Intranetserver Clientsysteme
Windows 98, 98SE Keine Keine Mittel
Windows ME Keine Keine Mittel
Windows XP Keine Keine Kritisch

Die oben genannte Bewertung basiert auf den Typen von Systemen, die von der Sicherheitsanfälligkeit betroffen sind, ihren typischen Bereitstellungsmustern und der Auswirkung, dass sie die Sicherheitsanfälligkeit ausnutzen würden. Die Kritischität für Windows XP ist höher als für Windows 98, 98SE und ME, da nur Windows XP in seiner Standardbedingung anfällig ist.

Sicherheitsrisikobezeichner:

Getestete Versionen:

Microsoft hat Windows ME, Windows NT 4.0, Windows 2000 und Windows XP und den UPnP-Dienst getestet, der unter Windows 98 und 98SE installiert werden kann, um zu prüfen, ob sie von diesen Sicherheitsrisiken betroffen sind. Frühere Versionen werden nicht mehr unterstützt und können von dieser Sicherheitsanfälligkeit betroffen sein.

Häufig gestellte Fragen

Welche Sicherheitsrisiken werden in diesem Bulletin behandelt?
In diesem Bulletin werden zwei Sicherheitsrisiken erläutert, die sich auf das Universelle Plug & Play-Subsystem in Windows 98, Windows 98SE, Windows ME und Windows XP auswirken.

Was ist universelle Plug & Play?
Universelle Plug & Play (UPnP) ist eine Funktion, mit der Geräte in einem Netzwerk andere Geräte ermitteln und bestimmen können, wie sie damit arbeiten. UPnP ist im Vergleich zu Plug-and-Play-Funktionen (PnP) am einfachsten zu verstehen, mit denen die meisten Windows-Benutzer bereits vertraut sind. PnP ermöglicht es dem Betriebssystem, neue Hardware zu erkennen, wenn Sie es auf einem System installieren. Wenn Sie z. B. eine neue Maus auf Ihrem Computer installieren, ermöglicht PnP Windows, sie zu erkennen, die erforderlichen Treiber zu laden und mit der Verwendung zu beginnen. UPnP erweitert dieses Konzept auf Geräte in einem Netzwerk und nicht auf dem lokalen System selbst. Mit UPnP können Computer mehr über andere Geräte im Netzwerk erfahren und bestimmen, wie sie verwendet werden. Beispielsweise könnte ein Computer UPnP verwenden, um zu erkennen, ob drucker im Netzwerk vorhanden sind, die er verwenden kann, und wie sie verwendet werden können.

Welche Betriebssysteme unterstützen UPnP?

  • Weder Windows 98 noch Windows 98SE enthalten eine systemeigene UPnP-Funktion. Sie kann nur hinzugefügt werden, indem die Clientsoftware für Internet Verbinden ion Sharing (ICS) installiert wird, die in Windows XP bereitgestellt wird.
  • Windows ME enthält eine systemeigene UPnP-Funktion, aber sie wird weder installiert noch standardmäßig ausgeführt.
  • Weder Windows NT 4.0 noch Windows 2000 unterstützen UPnP.
  • Windows XP enthält eine systemeigene UPnP-Funktion. Sie ist standardmäßig installiert und wird ausgeführt.

Haben die Sicherheitsrisiken nichts anderes als die Tatsache, dass sie UPnP einbeziehen?
Ja. Beide umfassen Probleme bei der Art und Weise, wie das UPnP-Subsystem die Geräteermittlung durchführt.

Was ist die UPnP-Geräteermittlung und wie funktioniert sie?
Die Geräteermittlung ist der Prozess, über den UPnP-fähige Computer die Verfügbarkeit von Geräten kennen, die sie verwenden können, und erfahren Sie, wie Sie Dienste von ihnen anfordern. Wenn ein UPnP-fähiger Computer gestartet wird, gibt es möglicherweise bereits Geräte im Netzwerk, die er verwenden kann. Um festzustellen, ob dies der Fall ist, sendet der Computer eine Übertragungsanforderung (als M-SEARCH-Direktive bezeichnet), um zu fragen, dass jedes UPnP-fähige Gerät innerhalb des Ohrschusses direkt darauf reagiert und Informationen zur Verwendung bereitstellt. Wenn ein Gerät, das UPnP unterstützt (z. B. ein UPnP-fähiger Drucker), startet, gibt es möglicherweise bereits UPnP-fähige Computer im Netzwerk, die es verwenden möchten. Das Gerät sendet eine Nachricht (so genannte NOTIFY-Direktive) an alle Computer im Ohrschuss, kündigt seine Anwesenheit im Netzwerk an und lädt Computer zur Nutzung seiner Dienste ein.

Angenommen, ein UPnP-fähiger Computer lernt, dass ein bestimmtes Gerät verfügbar ist. Wie lernt es, wie man es verwendet?
Der Computer überprüft, ob anwendungen ein Interesse an der Art des Geräts registriert haben, von dem es gelernt wird. Falls vorhanden, konsultiert der Computer die vom Gerät gesendeten Informationen, die eine URL enthalten, von der die Gerätebeschreibung - die Liste der vom Gerät angebotenen Dienste und Anweisungen zum Anfordern - heruntergeladen werden kann. Der Computer lädt dann die Gerätebeschreibung herunter und kann mit der Verwendung des Geräts beginnen.

Welche Sicherheitsrisiken wirken sich auf den UPnP-Dienst aus?
Es gibt zwei Sicherheitsrisiken:

  • Die erste Sicherheitsanfälligkeit könnte es einem Angreifer ermöglichen, die vollständige Kontrolle über ein betroffenes System zu erlangen.
  • Die zweite Sicherheitsanfälligkeit könnte es einem Angreifer ermöglichen, entweder zu verhindern, dass ein betroffenes System einen nützlichen Dienst bereitstellt oder mehrere Benutzersysteme in einem verteilten Denial-of-Service-Angriff auf ein einzelnes Ziel nutzt.

Was ist der Umfang der ersten Sicherheitsanfälligkeit?
Dies ist eine Pufferüberlauflücke . Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte die vollständige Kontrolle über ein betroffenes System erlangen. Dies ist eindeutig eine ernste Sicherheitslücke, und wir ermutigen Kunden nachdrücklich, den Patch sofort anzuwenden.

Was verursacht die Sicherheitsanfälligkeit?
Die Sicherheitsrisiken führen dazu, dass eine der Komponenten der Implementierungen Windows XP, Windows ME, Windows 98 und Windows 98SE UPnP einen nicht überprüften Puffer enthält, der über eine speziell falsch formatierte UPnP NOTIFY-Direktive überlaufen werden kann.

Was ist falsch mit der Behandlung von NOTIFY-Direktiven durch das UPnP-Subsystem?
Eine der Komponenten dieser Implementierungen, die an der Verarbeitung von NOTIFY-Direktiven beteiligt sind, enthält einen deaktivierten Puffer. Wenn das UPnP-Subsystem eine NOTIFY-Direktive erhalten hat, die auf eine bestimmte Weise falsch formatiert ist, würde der Effekt darin bestehen, den Puffer mit Daten aus der NOTIFY-Direktive zu überführen. Wenn diese Daten sorgfältig ausgewählt wurden, hätte sie die Auswirkung, den Betrieb des UPnP-Subsystems während der Ausführung zu ändern.

Was würde dies einem Angreifer ermöglichen?
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte das UPnP-Subsystem ändern, um jede gewünschte Aufgabe auszuführen. Da das UPnP-Subsystem als Teil des Betriebssystems ausgeführt wird, würde dies dem Angreifer die vollständige Kontrolle über das System geben.

Wie kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen?
Ein Angreifer könnte die Sicherheitsanfälligkeit ausnutzen, indem eine NOTIFY-Direktive mit der erforderlichen Fehlbildung erstellt und an andere Computer im Netzwerk gesendet wird.

Wie würde der Angreifer die NOTIFY-Direktive an die anderen Computer senden?
Eine NOTIFY-Direktive kann entweder als Unicastnachricht gesendet werden (d. h. eine, die direkt an einen bestimmten Computer gesendet wird) oder als Multicast oder Übertragung (d. h. eine, die an eine Gruppe von Computern gesendet wird). Der vom Angreifer gewählte typ wäre wichtig. Das Unicast-Formular würde es dem Angreifer ermöglichen, eine größere Reichweite zu erreichen, aber zu lasten der Notwendigkeit, weitere Informationen über das Ziel zu erhalten. Im Gegensatz dazu würde das Multicast-Formular es dem Angreifer ermöglichen, mehrere Computer zu kompromittieren, ohne viel über sie zu wissen, aber zu lasten der Einschränkung des Umfangs des Angriffs auf Computer im selben Netzwerksegment wie der Angreifer.

Wie funktioniert ein Angriff über eine UnicastBENACHRICHTIGUNGsnachricht?
Im Unicast-Szenario sendet der Angreifer eine NOTIFY-Nachricht direkt an einen anderen Computer, als würde er auf eine M-SEARCH-Direktive vom Computer antworten. Der Vorteil der Verwendung einer Unicast-Nachricht besteht darin, dass der Angreifer jeden Computer angreifen kann, an den er die NOTIFY-Nachricht übermitteln könnte. Ein Angreifer könnte Computer potenziell über große Entfernungen kompromittieren, indem Unicast-Nachrichten verwendet werden. Der Nachteil besteht darin, dass der Angreifer die IP-Adresse des Ziels kennen muss. Die meisten Netzwerke verwenden DHCP (Dynamic Host Configuration Protocol), um ihren Pool von IP-Adressen zu verwalten, und infolgedessen kann sich die IP-Adresse eines bestimmten Computers relativ häufig ändern. Obwohl es sicherlich möglich ist, die IP-Adresse eines Computers zu erlernen, kann es abhängig von den Umständen erhebliche Arbeit erfordern.

Wie funktioniert ein Angriff über eine Multicast- oder BroadcastBENACHRICHTIGUNGsnachricht?
In den Multicast- oder Übertragungsszenarien sendet der Angreifer eine NOTIFY-Nachricht an eine Multicast- oder Übertragungsadresse, wie von einem neuen UPnP-fähigen Gerät. Der Vorteil der Verwendung dieser Nachrichten besteht darin, dass der Angreifer die IP-Adresse eines anderen Computers nicht kennen muss und möglicherweise eine große Anzahl von Computern mit einem einzigen Angriff kompromittiert. Der Nachteil für den Angreifer besteht darin, dass die meisten Router und Firewalls keine Multicast- und Übertragungsnachrichten weiterleiten. (Um zu verstehen, warum, überlegen Sie, was passieren würde, wenn sie sie weitergeleitet haben - jeder Multicast oder Jede Übertragung von jedem Computer in der Welt würde an jeden anderen Computer der Welt geliefert, und das Internet würde schnell mit Daten beschwampelt). Daher würden Angriffe über Multicast oder Übertragung in der Regel nur innerhalb des Netzwerksegments des Angreifers oder subnetz effektiv sein.

Bedeutet dies, dass die Sicherheitsanfälligkeit nicht schwerwiegend ist?
Im Gegenteil, es ist sehr ernst. Es können Hunderte von Computern in einem Subnetz vorhanden sein, und diese Sicherheitsanfälligkeit würde es einem Angreifer ermöglichen, mit einer einzigen NOTIFY-Direktive die vollständige Kontrolle über alle zu erlangen. Wir fordern Kunden nachdrücklich auf, den Patch sofort anzuwenden.

Würde eine Unternehmensfirewall vor Angriffen aus dem Internet schützen?
Ja. Die meisten Unternehmensfirewalls blockieren Multicastnachrichten und unerwünschte Unicastnachrichten. Darüber hinaus hilft das Blockieren von Ports 1900 und 5000 zum Schutz vor internetbasierten Angriffen.

Würde die Internet-Verbinden ion-Firewall Windows XP-Computer vor dieser Sicherheitsanfälligkeit schützen?
Internet Verbinden ion Firewall (ICF) blockiert unerwünschte Unicastnachrichten, sodass ein Windows XP-System vor einem Angriff geschützt wird, der mithilfe von Unicast bereitgestellt wird. Dies würde keinen vollständigen Schutz bieten - ICF blockiert nicht Multicast oder Übertragung - aber es würde das Risiko für Windows XP-Benutzer erheblich reduzieren. Wie oben beschrieben, können Unicast-Nachrichten über große Entfernungen gesendet werden, in denen Multicast und Broadcast in der Regel nicht möglich sind. Dies bedeutet, dass sich der Angreifer für Windows XP-Benutzer wahrscheinlich im selben Netzwerksegment befinden muss, um die Sicherheitsanfälligkeit auszunutzen.

Ist ICF in Windows XP standardmäßig aktiviert?
Im Allgemeinen wird ICF automatisch aktiviert, wenn ein Assistent verwendet wird, um eine Netzwerkverbindung mit dem Internet zu erstellen. Beispielsweise ist ICF in allen folgenden Szenarien aktiviert:

  • Wenn ein Windows XP-System verwendet wird, wird ein Internet Verbinden ion Sharing-Host verwendet.
  • Wenn eine Verbindung mit dem Internet über den Assistenten für neue Verbinden ion erstellt wird.
  • Wenn eine Verbindung mit dem Internet im Netzwerkeinrichtungs-Assistenten identifiziert wird.
  • Wenn eine Internetverbindung im Assistenten "Willkommen bei Windows" erstellt oder identifiziert wird.

ICF ist in Fällen wie den folgenden standardmäßig nicht aktiviert:

  • Wenn sich der Benutzer entscheidet, eine Netzwerkverbindung manuell zu erstellen. In diesem Fall müssen alle Netzwerkoptionen – einschließlich ICF – manuell aktiviert oder deaktiviert werden.
  • Wenn die Verbindung nicht direkt mit dem Internet verbunden ist , z. B. wenn es sich um eine Verbindung mit einem LAN handelt. In solchen Fällen gibt es in der Regel bereits eine Firewall, die das gesamte Netzwerk schützt.
  • Wenn das System von einer früheren Version von Windows aktualisiert wurde und bereits über eine Internetverbindung verfügte. In diesem Fall kann ICF manuell aktiviert werden.

Weitere Informationen zum Betrieb von ICF und zu den Bedingungen, unter denen sie standardmäßig aktiviert ist, finden Sie unter "Internet Verbinden ion Firewall Feature Overview".

Ich habe ein Heimnetzwerk, das internet Verbinden ion Sharing verwendet, um eine Verbindung mit dem Internet herzustellen. Könnte jemand im Internet die Computer im Inneren meines Netzwerks angreifen?
Nein Das Internet-Verbinden ion-Freigabegateway leitet die NOTIFY-Nachrichten nicht weiter, unabhängig davon, ob sie von Unicast, Multicast oder Broadcast gesendet werden. Dies bedeutet, dass ein internetbasierter Angreifer die Sicherheitsanfälligkeit gegen Systeme im Inneren des Netzwerks nicht ausnutzen konnte. Er könnte jedoch die Sicherheitsanfälligkeit gegen das Gatewaysystem ausnutzen.

Wie kann ich feststellen, ob ich den Patch benötige?
Für Windows XP, 98 und 98SE ist es ziemlich einfach zu erkennen, ob Sie den Patch benötigen:

  • Wenn Sie Windows XP ausführen, benötigen Sie den Patch. Alle Windows XP-Systeme sind in ihren Standardkonfigurationen anfällig.
  • Wenn Sie Windows 98 oder Windows 98SE verwenden, benötigen Sie nur den Patch, wenn Sie die Clientsoftware für die Internet- Verbinden ion-Freigabe installiert haben.

Für Windows ME ist es etwas schwieriger. Windows ME enthält ein UPnP-Subsystem, wird jedoch standardmäßig nicht ausgeführt. Einige Hardwarehersteller aktivieren sie jedoch in ihren vorkonfigurierten Systemen. Führen Sie die folgenden Schritte aus, um festzustellen, ob das UPnP-Subsystem ausgeführt wird:

  1. Klicken Sie auf "Start", Einstellungen und wählen Sie dann Systemsteuerung aus.
  2. Wählen Sie "Programme hinzufügen/entfernen" aus.
  3. Wählen Sie die Registerkarte "Windows Set-up" aus.
  4. Wählen Sie im Feld "Komponenten" die Option "Kommunikation" und dann "Details" aus.
  5. Scrollen Sie nach unten, und sehen Sie, ob das Feld links neben der universellen Plug & Play aktiviert ist. Wenn dies der Grund ist, benötigen Sie den Patch; wenn dies nicht der Derb ist, ist dies nicht der Der 1.00.000.

Was macht der Patch?
Der Patch beseitigt die Sicherheitsanfälligkeit, indem die ordnungsgemäße Pufferbehandlung in den Windows XP-, Windows ME-, Windows 98- und Windows 98SE-UPnP-Implementierungen durchgeführt wird.

Wenn ich den Patch nicht installieren kann, gibt es eine andere Möglichkeit, mein System zu schützen?
Ja. Sie können Ihr System schützen, indem Sie die UPnP-Funktion deaktivieren. Bevor Sie dies tun, sollten Sie jedoch verstehen, dass dies auswirkungen wird, wie bestimmte Systemfunktionen funktionieren. Die Deaktivierung von UPnP in Windows XP wirkt sich insbesondere auf den Betrieb des ICS-Features (Internet Verbinden ion Sharing) aus, mit dem mehrere Windows-Computer eine einzelne Verbindung über ein Windows XP-System mit dem Internet teilen können. Wenn die UPnP-Funktion deaktiviert ist, können ICS-Clients das Internetgateway nicht automatisch erkennen, und Sie müssen die Gatewayinformationen für jedes Clientsystem manuell konfigurieren. So deaktivieren Sie die UPnP-Funktion: Windows XP:

  1. Melden Sie sich mit einem Konto an, das über Administratorrechte verfügt.
  2. Klicken Sie auf "Start", klicken Sie dann mit der rechten Maustaste auf "Arbeitsplatz", und wählen Sie "Verwalten" aus.
  3. Klicken Sie im linken Bereich neben "Dienste und Anwendungen" auf "+", und klicken Sie dann auf "Dienste".
  4. Klicken Sie im rechten Bereich mit der rechten Maustaste auf DEN SSDP Discovery Service, und wählen Sie "Eigenschaften" aus.
  5. Wählen Sie in der Dropdownliste mit dem Titel "Starttyp" die Option "Deaktiviert" aus.
  6. Klicken Sie im Abschnitt "Dienststatus" des Dialogs auf "Beenden".
  7. Klicken Sie auf 'OK', um den Dialog zu beenden, und schließen Sie dann das Fenster "Computerverwaltung".

Windows ME:

  1. Klicken Sie auf "Start", Einstellungen und wählen Sie dann Systemsteuerung aus.
  2. Wählen Sie "Programme hinzufügen/entfernen" aus.
  3. Wählen Sie die Registerkarte "Windows Set-up" aus.
  4. Wählen Sie im Feld "Komponenten" die Option "Kommunikation" und dann "Details" aus.
  5. Deaktivieren Sie das Kontrollkästchen für universelle Plug & Play.
  6. Klicken Sie auf "OK", um den Dialog zu beenden, und schließen Sie dann den Windows-Setupdialog.
  7. Starten Sie den Computer neu.

Windows 98 oder 98SE:

  1. Klicken Sie auf "Start", Einstellungen und wählen Sie dann Systemsteuerung aus.
  2. Wählen Sie "Programme hinzufügen/entfernen" aus.
  3. Wählen Sie die Registerkarte "Windows Set-up" aus.
  4. Wählen Sie im Feld "Komponenten" die Option "Kommunikation" und dann "Details" aus.
  5. Deaktivieren Sie das Kontrollkästchen für universelle Plug & Play.
  6. Klicken Sie auf "OK", um den Dialog zu beenden, und schließen Sie dann den Windows-Setupdialog.
  7. Starten Sie den Computer neu.

In den obigen Windows XP-Anweisungen haben Sie gesagt, den SSDP Discovery-Dienst zu deaktivieren, aber ich sehe einen Dienst namens "UPnP Device Host". Sollte ich diesen Dienst auch deaktivieren?
Nein Trotz seines Namens ist der UPnP-Gerätehostdienst nicht mit dieser Sicherheitsanfälligkeit verbunden, und es ist nicht erforderlich, ihn zu deaktivieren. Der UPnP-Gerätehostdienst ermöglicht es anderen Diensten unter Windows XP, sich als UPnP-Geräte zu bewerben und ist nicht in irgendeiner Weise daran beteiligt, wie ein System tatsächliche UPnP-Geräte verarbeitet.

Wenn ich den Patch auf einem Windows XP-System installiert und anschließend dieses System zum Installieren der Clientsoftware für internet Verbinden ion Freigabe auf einem Windows 98-, 98SE- oder ME-System verwende, muss ich den Patch darauf anwenden?
Es gibt zwei Möglichkeiten, den ICS-Client (Internet Verbinden ion Sharing) zu installieren, und die Antwort hängt von der gewählten Methode ab. Eine Möglichkeit besteht darin, einen Netzwerksetup-Assistenten-Diskette auf einem Windows XP-System zu erstellen und dann den ICS-Client auf einem sogenannten Downlevel-System zu installieren (d. h. eine Unterversion von Windows 98, 98SE oder ME). Wenn Sie diese Methode verwenden und das Windows XP-System, auf dem Sie den Diskettendatenträger erstellen, bereits über den Patch verfügt, müssen Sie das Downlevel-System nicht patchen . Der Netzwerksetup-Assistent installiert eine Version von ICS, die bereits über den Fix verfügt. Wenn Sie das Floppy auf einem Windows XP-System erstellen, das nicht über den Patch verfügt, müssen Sie das Downlevel-System nach der Installation von ICS patchen. (Natürlich sollten Sie auch das Windows XP-System patchen). Die andere Möglichkeit, den ICS-Client auf einem Downlevel-System zu installieren, besteht darin, ihn direkt über die Windows XP-CD zu installieren. Wenn Sie diese Methode verwenden, müssen Sie den Patch auf dem Downlevel-System installieren.

Ich habe versucht, den Patch auf meinem Windows 98-System zu installieren, aber der Patch hat eine Meldung angezeigt, die besagt, dass er nicht für meine Windows-Version vorgesehen war. Was ist passiert? Ich habe überprüft, ob ich die Windows 98-Version des Patches installiert habe. Der Patch für Windows 98 und 98SE wird nur installiert, wenn der ICS-Client auf dem System vorhanden ist, da dies die einzige Möglichkeit ist, zu der eine UPnP-Funktion auf dem System hinzugefügt werden kann. Die Meldung, die Sie gesehen haben, bedeutet, dass der ICS-Client nicht auf dem System vorhanden ist und der Patch daher nicht benötigt wird.

Was ist der Umfang der zweiten Sicherheitsanfälligkeit?
Die zweite Sicherheitsanfälligkeit ist eine Sicherheitsanfälligkeit bei Denial-of-Service-Angriffen . Es könnte auf eine von zwei Arten verwendet werden : es könnte entweder in einem Angriff verwendet werden, der nur einen einzelnen Computer umfasst, und würde seine Leistung verlangsamen oder beenden, oder es könnte in einem verteilten Denial of Service-Angriff verwendet werden, in dem der Angreifer mehrere Computer anweisen würde, um kräfte gegen einen anderen Computer zu verbinden und mit Daten zu stempeln. Diese Sicherheitsanfälligkeit konnte nicht verwendet werden, um eine administrative Kontrolle über das System zu erlangen - ihre alleinige Verwendung wäre, die Bemühungen des berechtigten Benutzers, sie zu verwenden, zu beeinträchtigen.

Was verursacht die Sicherheitsanfälligkeit?
Die Sicherheitsrisiken führen dazu, dass die UPnP-Implementierungen in Windows 98, Windows 98SE, Windows ME und Windows XP nicht genügend Einschränkungen auf den Prozess anwenden, den sie beim Herunterladen einer Gerätebeschreibung für ein UPnP-fähiges Gerät befolgen.

Was ist der Prozess, mit dem Computer Gerätebeschreibungen suchen und herunterladen?
Wenn ein UPnP-fähiger Computer eine NOTIFY-Direktive empfängt, überprüft er, ob eine Anwendung ein Interesse an dem Gerätetyp registriert hat, der die NOTIFY gesendet hat. Falls vorhanden, konsultiert der Computer die NOTIFY-Direktive, die die Computeradresse und die Portnummer enthält, aus der die Gerätebeschreibung heruntergeladen werden kann. Der Computer kontaktiert dann den angegebenen Computer und fordert die Gerätebeschreibung an.

Was stimmt mit der Art und Weise, wie das UPnP-Subsystem Gerätebeschreibungen verarbeitet?
Es gibt zwei Probleme. Erstens schränkt das Subsystem die Größe der heruntergeladenen Gerätebeschreibungen nicht ein und überprüft nicht, ob die Daten, die angeblich eine Gerätebeschreibung besitzen, gültig sind. Zweitens führt das Subsystem nicht die richtigen Schritte aus, um sicherzustellen, dass der Computer, an den es weitergeleitet wurde, tatsächlich eine Downloadwebsite für Gerätebeschreibungen ist.

Was würde das erste Problem einem Angreifer ermöglichen?
Das erste Problem könnte es einem Angreifer ermöglichen, das System eines Benutzers an eine gefälschte Downloadwebsite zu senden, die ausschließlich zum Zweck der Verlangsamung oder Beendigung des Systems des Benutzers dient.

Wie würde ein Angreifer einen solchen Angriff durchführen?
Es gibt viele Variationen, die verwendet werden können, aber hier ist ein ziemlich einfaches Szenario, das einen möglichen Angriff veranschaulicht. Angenommen, der Angreifer wusste von einem Server, auf dem der Chargen-Dienst ausgeführt wurde. Chargen ist ein standardmäßiger TCP/IP-Dienst, der einfach einen Datenstrom generiert, wenn ein System eine Verbindung mit dem System herstellt, und es ist nicht ungewöhnlich, Server mit Chargen zu finden. Wenn ein solcher Server nicht praktisch wäre, könnte der Angreifer natürlich einen einrichten. Der Angreifer könnte eine NOTIFY-Direktive an das System eines Benutzers senden, ein neues UPnP-fähiges Gerät anzeigen und das System leiten, um eine Verbindung mit dem Chargen-Server herzustellen. Das System des Benutzers sendet eine Downloadanforderung an den Server, wodurch zufällige Daten als Reaktion auf die Anforderung generiert werden. Der UPnP-Dienst interpretiert dies als Teil der Gerätebeschreibung, und der Download kann endlos fortgesetzt werden, um Ressourcen und Speicherplatz auf dem System des Benutzers zu verbrauchen.

Würde der Angriff dazu führen, dass das System des Benutzers angehalten wird?
Die Auswirkungen des Angriffs hängen stark von den Besonderheiten des Szenarios ab, einschließlich der relativen Verarbeitungsleistung und verfügbarkeit der beiden Systeme, der Netzwerkbandbreite zwischen ihnen und anderen Faktoren. Im besten Fall kann der Angriff nur die Leistung des Systems verlangsamen; Im schlimmsten Fall kann es praktisch alle Ressourcen auf dem System verbrauchen, um zu verhindern, dass nützliche Arbeiten durchgeführt werden.

Wie kann der Benutzer den normalen Dienst fortsetzen?
Der Benutzer könnte den normalen Dienst wiederherstellen, indem er den Dienst beendet und neu startet, der die Behandlung von Gerätebeschreibungen steuert, den SSDP Discovery Service

Was würde das zweite Problem dem Angreifer ermöglichen?
Das zweite Problem würde einen Angriff ermöglichen, der im Wesentlichen die Umkehrung des oben beschriebenen Angriffs ist. Anstatt auf das System eines Benutzers zu abzielen, um es zu verlangsamen, könnte das zweite Problem es dem Angreifer ermöglichen, mehrere UPnP-fähige Systeme zu verursachen, um Kräfte in einem verteilten Denial-of-Service-Angriff zu verbinden, der alle Ressourcen in einem einzigen Drittanbietersystem verbrauchen würde.

Wie würde dieser Angriff funktionieren?
Wie im obigen Fall gibt es viele Möglichkeiten, einen Angriff zu bewirken, aber ein einfacher Angriff würde das Senden von NOTIFY-Befehlen an viele UPnP-fähige Computer umfassen und sie anweisen, sich an einen Drittanbieterserver für die Gerätebeschreibung zu wenden. Wenn genügend Computer beteiligt waren, könnte das schiere Volumen der Downloadanforderungen die Leistung des Drittanbieterservers möglicherweise verlangsamen oder es insgesamt sumpfen.

Würde jeder Angriff es dem Angreifer ermöglichen, etwas anderes zu tun als den Dienst an jemanden zu verweigern?
Nein Keiner dieser Angriffe würde es dem Angreifer ermöglichen, eine Administrative Kontrolle über die Computer zu erlangen oder Daten auf ihnen zu kompromittieren. Beide können nur für Denial-of-Service-Angriffe verwendet werden.

Könnten diese Angriffe, wie die in der ersten Sicherheitsanfälligkeit, über Unicast, Multicast und Broadcast initiiert werden?
Ja. Wie in der oben beschriebenen Sicherheitsanfälligkeit können die Angriffe hier über Unicast-, Multicast- oder Broadcast NOTIFY-Direktiven initiiert werden. Alle gleichen Vor- und Nachteile würden in diesem Fall gelten: Ein Angreifer könnte Unicast-Nachrichten verwenden, um eine größere Reichweite zu erzielen, aber zu lasten der Notwendigkeit, die IP-Adresse des Zielcomputers zu kennen; oder könnten Multicast- oder Übertragungsnachrichten verwenden, um mehrere Computer anzugreifen, ohne ihre IP-Adressen kennen zu müssen, um den Angriff auf Computer im selben Netzwerksegment wie der Angreifer zu beschränken.

Wie verhindert der Patch das erste Problem?
Der Patch verhindert das erste Problem, indem die Daten eingeschränkt werden, die als Gerätebeschreibung akzeptiert werden. Der Patch richtet eine maximale Größe von Gerätebeschreibungen ein; Wenn eine Gerätebeschreibung diese Größe überschreitet, beendet das UPnP-Subsystem den Download. Außerdem bewirkt es, dass das Subsystem die Daten während der Ankunft überprüft und den Download beendet, wenn die Daten für eine Gerätebeschreibung nicht gültig sind.

Wie verhindert der Patch das zweite Problem?
Der Patch beseitigt das zweite Problem, indem das UPnP-Subsystem nach Gerätebeschreibungen sucht. Der Patch bewirkt, dass er den In einer NOTIFY-Nachricht bereitgestellten Speicherort auf eine Gerätebeschreibung überprüft und nur dann mit dem Download fortfährt, wenn dieser Speicherort mehrere Tests bestanden hat. Das UPnP-Subsystem überprüft den Downloadspeicherort, bevor sie versuchen, eine Gerätebeschreibung herunterzuladen. Standardmäßig lädt ein gepatchtes System nur eine Gerätebeschreibung herunter, die sich auf einem Computer im selben Subnetz- oder privaten Adressbereich befindet. Das Subsystem überprüft außerdem, wie viele Router-Hops erforderlich sind, um den Standort zu erreichen, und fährt nur fort, wenn diese Zahl ausreichend klein ist. Standardmäßig lädt ein gepatchtes System nur eine Gerätebeschreibung herunter, wenn der Computer, auf dem es gehostet wird, vier oder weniger Hops entfernt ist. Beide Einstellungen sind konfigurierbar, wie im Microsoft Knowledge Base-Artikel Q315056 beschrieben. Darüber hinaus führt der Patch einen Verzögerungsmechanismus ein, um die Netzwerknutzung zu vereinfachen. Gepatchte Systeme laden Gerätebeschreibungen in unterschiedlichen Tarifen herunter, je nachdem, wie weit der Downloadspeicherort entfernt ist. Downloadspeicherorte, die sich im öffentlichen Netzwerk befinden, wie z. B. das Internet, werden langsamer heruntergeladen, um die Anforderungen zu begrenzen, die ihnen gestellt werden. Ebenso erhöht ein System bei jedem Auftreten von Fehlern beim Herunterladen einer Gerätebeschreibung die Zeit, die es wartet, bevor es erneut versucht wird.

Wenn ich den Patch nicht installieren kann, kann ich vor dieser Sicherheitsanfälligkeit schützen, indem ich die UPnP-Unterstützung deaktiviere?
Ja. Anweisungen zum Deaktivieren der UPnP-Unterstützung finden Sie oben.

Patch-Verfügbarkeit

Downloadspeicherorte für diesen Patch

Weitere Informationen zu diesem Patch

Installationsplattformen:

  • Der Patch für Windows 98 und 98SE kann auf jedem Windows 98- oder 98SE-System installiert werden, auf dem der Windows XP Internet Verbinden ion Sharing-Client installiert wurde.
  • Der Patch für Windows ME kann auf Systemen mit Windows ME Gold installiert werden.
  • Der Patch für Windows XP kann auf Systemen mit Windows XP Gold installiert werden.

Aufnahme in zukünftige Service Packs:

  • Für Windows 98, 98SE oder ME sind keine zukünftigen Service Packs geplant.
  • Der Fix für dieses Problem ist in Windows XP Service Pack 1 enthalten.

Neustart erforderlich: Ja

Abgelöste Patches:MS01-054

Überprüfen der Patchinstallation:

Windows 98 und 98SE:

  • Um zu überprüfen, ob der Patch auf dem Computer installiert wurde, wählen Sie "Start" und dann "Ausführen" aus, und führen Sie dann das QFECheck-Hilfsprogramm aus. Wenn der Patch installiert ist, wird "Windows 98 Q314941 Update" unter den installierten Patches aufgeführt.
  • Verwenden Sie zum Überprüfen der einzelnen Dateien das im Knowledge Base-Artikel Q314941 bereitgestellte Dateimanifest.

Windows ME:

  • Um zu überprüfen, ob der Patch auf dem Computer installiert wurde, wählen Sie "Start" und dann "Ausführen" aus, und führen Sie dann das QFECheck-Hilfsprogramm aus. Wenn der Patch installiert ist, wird "Windows Millennium Edition Q314757 Update" unter den installierten Patches aufgeführt.
  • Verwenden Sie zum Überprüfen der einzelnen Dateien das im Knowledge Base-Artikel Q314757 bereitgestellte Dateimanifest.

Für Windows XP:

  • Um zu überprüfen, ob der Patch auf dem Computer installiert wurde, vergewissern Sie sich, dass der folgende Registrierungsschlüssel auf dem Computer erstellt wurde:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\Q315000.
  • Verwenden Sie zum Überprüfen der einzelnen Dateien die im folgenden Registrierungsschlüssel angegebenen Datums-/Uhrzeit- und Versionsinformationen:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\Q315000\Filelist.

Einschränkungen:

Keine

Lokalisierung:

Lokalisierte Versionen dieses Patches werden entwickelt. Nach Abschluss des Vorgangs stehen sie an den Speicherorten zur Verfügung, die unter "Abrufen anderer Sicherheitspatches" erläutert werden.

Abrufen anderer Sicherheitspatches:

Patches für andere Sicherheitsprobleme stehen an den folgenden Speicherorten zur Verfügung:

  • Sicherheitspatches sind im Microsoft Download Center verfügbar und können am einfachsten gefunden werden, indem sie eine Schlüsselwort (keyword) Suche nach "security_patch" durchführen.
  • Patches für Consumerplattformen stehen auf der WindowsUpdate-Website zur Verfügung.

Weitere Informationen:

Bestätigungen

Microsoft dankt eEye Digital Security (https://www.eeye.com) für die Meldung dieses Problems an uns und arbeitet mit uns zusammen, um Kunden zu schützen.

Unterstützungswert:

  • Microsoft Knowledge Base-Artikel Q314757, Q314941, Q315000 und Q315056 dieses Problem besprechen und werden ungefähr 24 Stunden nach der Veröffentlichung dieses Bulletins verfügbar sein. Knowledge Base-Artikel finden Sie auf der Microsoft Online Support-Website .
  • Technischer Support steht von Microsoft-Produktsupportdiensten zur Verfügung. Es fallen keine Gebühren für Supportanrufe an, die Sicherheitspatches zugeordnet sind.

Sicherheitsressourcen: Die Microsoft TechNet Security-Website enthält zusätzliche Informationen zur Sicherheit in Microsoft-Produkten.

Haftungsausschluss:

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen:

  • V1.0 (20. Dezember 2001): Bulletin Created.
  • V1.1 (26. Dezember 2001): Zusätzliche Details, die hinzugefügt wurden, wie der Patch die Denial-of-Service-Szenarien beseitigt.
  • V1.2 (31. Dezember 2001): Bulletin aktualisiert, um zusätzliche mildernde Faktoren bereitzustellen (ICF ist wirksam gegen Unicastangriffe, und ICS schützt Computer im Inneren von Heimnetzwerken) und informationen zum Deaktivieren der UPnP-Unterstützung.
  • V1.3 (09. Mai 2003): Aktualisierte Downloadlinks zu Windows Update.

Gebaut am 2014-04-18T13:49:36Z-07:00

  • Last updated on