Delen via

Beveiligingsbulletin

Microsoft-beveiligingsbulletin MS00-053 - Kritiek

Patch beschikbaar voor het beveiligingsprobleem 'Service Control Manager Named Pipe Impersonation'

Gepubliceerd: 02 augustus 2000

Versie: 1.0

Oorspronkelijk gepost: 2 augustus 2000

Samenvatting

Microsoft heeft een patch uitgebracht waarmee een beveiligingsprobleem in Microsoft® Windows 2000® Wordt voorkomen dat een gebruiker zich vanaf het toetsenbord heeft aangemeld op een Windows 2000-computer, een beheerder op de computer kan worden.

Betrokken software:

  • Microsoft Windows 2000 Professional
  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 Advanced Server

Beveiligingsprobleem-id:CVE-2000-0737

Algemene gegevens

Technische details

Technische beschrijving:

Service Control Manager (services.exe) is een beheerprogramma dat wordt geleverd in Windows 2000 waarmee systeemservices (Server, Workstation, Alerter, ClipBook, enzovoort) kunnen worden gemaakt of gewijzigd. De SCM maakt een benoemde pijp voor elke service terwijl deze wordt gestart, maar als een schadelijk programma de benoemde pijp voor een specifieke service voorspelt en maakt voordat de service wordt gestart, kan het programma de bevoegdheden van de service imiteren. Hierdoor kan het schadelijke programma worden uitgevoerd in de context van de opgegeven service, met specifieke gebruikers- of LocalSystem-bevoegdheden.

Het primaire risico van dit beveiligingsprobleem is dat een kwaadwillende gebruiker misbruik kan maken van dit beveiligingsprobleem om extra bevoegdheden op de lokale computer te krijgen. Een kwaadwillende gebruiker zou de mogelijkheid nodig hebben om zich interactief aan te melden bij de doelcomputer en willekeurige programma's uit te voeren om dit beveiligingsprobleem te kunnen misbruiken. Als gevolg hiervan lopen werkstations en terminalservers het grootste risico.

Veelgestelde vragen

Waar gaat dit bulletin over?
Microsoft Security Bulletin MS00-053 kondigt de beschikbaarheid aan van een patch die een beveiligingsprobleem in Microsoft® Windows 2000® elimineert. Met het beveiligingsprobleem kan een gebruiker ongepaste bevoegdheden krijgen op een Windows 2000-computer. Microsoft streeft ernaar om de gegevens van klanten te beschermen en geeft het bulletin aan om klanten te informeren over het beveiligingsprobleem en wat ze eraan kunnen doen.

Wat is het bereik van het beveiligingsprobleem?
Dit is een beveiligingsprobleem met onrechtmatige uitbreiding van bevoegdheden. Een kwaadwillende gebruiker die zich interactief kan aanmelden bij een Windows 2000-computer en een programma kan uitvoeren, kan zich voordoen als elke andere gebruiker op de computer, inclusief de beheerder of het systeem zelf. De machines die waarschijnlijk worden beïnvloed door dit beveiligingsprobleem, zijn Windows 2000 Professional-werkstations en terminalservers, omdat ze normaal gesproken toestaan dat normale gebruikers zich interactief bij hen aanmelden. Beveiligingskritieke machines zoals domeincontrollers, ERP-servers, afdruk- en bestandsservers en SQL-servers staan normaal gesproken niet toe dat normale gebruikers zich interactief bij hen aanmelden en, als dit het geval is, geen risico lopen op dit beveiligingsprobleem. Met het beveiligingsprobleem kan een gastgebruiker of normale gebruiker uitgaan van een gewenst niveau van bevoegdheden op de computer die is aangetast. In het geval van een gecompromitteerd werkstation is het waarschijnlijk dat de kwaadwillende gebruiker de controle niet kan uitbreiden naar de rest van het netwerk. Als hij of zij echter inbreuk heeft op een domeincontroller, krijgt hij of zij de feitelijke controle over het domein.

Wat veroorzaakt het beveiligingsprobleem?
Een fout in de SCM-functie (Service Control Manager) waarmee benoemde pipes voor systeemservices worden gemaakt, kan een kwaadwillende gebruiker willekeurige code uitvoeren in de beveiligingscontext van een specifieke service. De SCM maakt een pijp aan de serverzijde voor elke service voordat de service wordt gestart. De namen die aan de benoemde pijpen zijn toegewezen, bevinden zich in een voorspelbare volgorde, waardoor een kwaadwillende gebruiker de naam van het volgende exemplaar van een bepaalde service kan raden en een pijp aan de serverzijde voor die service kan maken. De volgende keer dat de specifieke service is gestart, wordt schadelijke code uitgevoerd die is gekoppeld aan de zojuist gemaakte benoemde pipe. De schadelijke code wordt uitgevoerd binnen de beveiligingscontext die normaal gesproken aan die service is toegewezen. Services worden doorgaans uitgevoerd met LocalSystem-bevoegdheden, maar kunnen ook worden uitgevoerd in de beveiligingscontext van een bepaald vooraf gedefinieerd gebruikersaccount.

Wat is Service Control Manager?
Service Control Manager is een beheerprogramma dat wordt geleverd in Windows 2000 waarmee systeemservices kunnen worden gemaakt of gewijzigd.

Wat zijn named pipes?
Pijpen bieden processen de mogelijkheid om met elkaar te communiceren. Een pijp is een geheugengebied dat twee of meer processen delen. Wanneer Proces A wil communiceren met Proces B, worden er gegevens in het gedeelde geheugen opgeslagen en wordt een semafore ingesteld die proces B vertelt dat deze moet worden gelezen. Er zijn twee soorten pijpen:

  • Anonieme pijpen, die communicatie in één richting van een bovenliggend proces naar een onderliggend proces mogelijk maken. Ze kunnen alleen lokaal bestaan.
  • Benoemde pijpen, die bidirectionele communicatie tussen meerdere processen mogelijk maken. De processen kunnen zich op verschillende computers bevinden.

Is dit een beveiligingsprobleem binnen specifieke Windows 2000-services?
Nee, er is geen probleem met Windows 2000-services per se. De fout bevindt zich volledig binnen de functie Service Control Manager voor het maken van benoemde pijpen voor services.

Wat zou dit beveiligingsprobleem een kwaadwillende gebruiker laten doen?
Een kwaadwillende gebruiker kan extra bevoegdheden krijgen op de lokale computer. Hij of zij kan zichzelf bijvoorbeeld toevoegen aan de lokale groep Beheer istrators, waarna ze elke gewenste actie op de machine kunnen uitvoeren.

Kan dit beveiligingsprobleem per ongeluk worden misbruikt?
Nee Voor het misbruiken van dit beveiligingsprobleem is een zeer specifieke reeks stappen vereist die geen legitiem doel hebben. Ze zouden alleen worden genomen door een kwaadwillende gebruiker die hoopt dit beveiligingsprobleem te misbruiken.

Kan dit beveiligingsprobleem extern worden misbruikt?
Nee Zoals hierboven is besproken, kan de specifieke functie die hier aan de orde is, alleen worden gebruikt voor het maken van service-pijpen op de lokale computer, zodat een kwaadwillende gebruiker deze alleen kan gebruiken om een computer aan te vallen waarop hij of zij zich interactief kan aanmelden.

Welke machines lopen het grootste risico op dit beveiligingsprobleem?
Machines waarmee normale gebruikers zich interactief kunnen aanmelden en willekeurige programma's uitvoeren, lopen het grootste risico op dit beveiligingsprobleem. De machines die voornamelijk risico lopen, zijn Windows NT 2000 Professional-werkstations en terminalservers. Als aanbevolen beveiligingsprocedures worden gevolgd, zouden beveiligingskritieke servers, zoals domeincontrollers, ERP-servers, afdruk- en bestandsservers, databaseservers en webservers normale gebruikers niet toestaan zich interactief aan te melden bij hen en zouden daarom geen risico lopen.

Welk risico vormt dit beveiligingsprobleem voor mijn netwerk?
Met het beveiligingsprobleem kan een kwaadwillende gebruiker uitgaan van een gewenst niveau van bevoegdheden op de specifieke computer die hij of zij heeft aangetast. Het risico voor het netwerk in grote mate is afhankelijk van de rol die de machine op het netwerk speelt. Als een werkstation of terminalserver is gecompromitteerd, zou dit waarschijnlijk weinig risico vormen voor het netwerk. Zelfs een lokale beheerder heeft standaard geen speciale domeinbevoegdheden. Als echter een domeincontroller of een andere computer waarop domeinbeheergegevens lokaal worden opgeslagen, is gecompromitteerd, kan de kwaadwillende gebruiker hiervan profiteren om de controle buiten de lokale computer uit te breiden. Dit is echter een beetje een kip-en-ei probleem. De aanwezigheid van domeinbeheergegevens op dergelijke machines is de belangrijkste reden waarom aanbevolen beveiligingsprocedures militate tegen normale gebruikers de mogelijkheid om interactief op hen te reageren.

Wat doet de patch?
De patch wijzigt de methode waarin de SCM benoemde pijpen maakt en toewijst en voorkomt dat een ander proces de hierboven beschreven bewerkingen uitvoert.

Waar kan ik de patch krijgen?
De downloadlocatie voor de patch vindt u in de sectie Patch beschikbaarheid van het beveiligingsbulletin.

Hoe kan ik de patch gebruiken?
Knowledge Base-artikel Q269523 bevat gedetailleerde instructies voor het toepassen van de patch.

Hoe weet ik of ik de patch juist heb geïnstalleerd?
Het Knowledge Base-artikel Q269523 biedt een manifest van de bestanden in het patchpakket. De eenvoudigste manier om te controleren of u de patch correct hebt geïnstalleerd, is om te controleren of deze bestanden aanwezig zijn op uw computer en dezelfde grootten en aanmaakdatums hebben, zoals wordt weergegeven in het KB-artikel

Wat doet Microsoft met dit probleem?
Microsoft heeft een patch geleverd waarmee het beveiligingsprobleem wordt geëlimineerd.

  • Microsoft heeft een beveiligingsbulletin en deze veelgestelde vragen verstrekt om klanten een gedetailleerd inzicht te geven in het beveiligingsprobleem en de procedure om dit te elimineren.
  • Microsoft heeft kopieën van het beveiligingsbulletin verzonden naar alle abonnees van de Microsoft Product Security Notification Service, een gratis e-mailservice die klanten kunnen gebruiken om up-to-date te blijven met Microsoft-beveiligingsbulletins.
  • Microsoft heeft een Knowledge Base-artikel uitgegeven Q269523 uitleg van het beveiligingsprobleem en de procedure.

Waar vind ik meer informatie over aanbevolen procedures voor beveiliging?
De website Microsoft TechNet Security is de beste plek om informatie over Microsoft-beveiliging op te halen.

Hoe kan ik technische ondersteuning voor dit probleem?
Microsoft Product Support Services kan hulp bieden bij dit of een ander probleem met productondersteuning.

Beschikbaarheid van patches

Downloadlocaties voor deze patch

Aanvullende informatie over deze patch

Installatieplatforms: raadpleeg de volgende verwijzingen voor meer informatie over dit probleem.

Andere informatie:

Bevestigingen

Microsoft bedankt de afdeling R&D; van Guardent voor het melden van dit probleem aan ons en het samenwerken met ons om klanten te beschermen.

Ondersteuning: Dit is een volledig ondersteunde patch. Informatie over het contact opnemen met Microsoft Product Support Services is beschikbaar op https:.

Beveiligingsresources: De website Microsoft TechNet Security biedt aanvullende informatie over beveiliging in Microsoft-producten.

Disclaimer:

De informatie in de Microsoft Knowledge Base wordt geleverd zonder enige garantie. Microsoft wijst alle garanties af, hetzij uitdrukkelijk of impliciet, met inbegrip van de garanties van verkoopbaarheid en geschiktheid voor een bepaald doel. In geen geval is Microsoft Corporation of haar leveranciers aansprakelijk voor enige schade, waaronder directe, indirecte, incidentele, gevolgschade, verlies van bedrijfswinst of speciale schade, zelfs als Microsoft Corporation of haar leveranciers op de hoogte zijn gesteld van de mogelijkheid van dergelijke schade. Sommige staten staan de uitsluiting of beperking van aansprakelijkheid voor gevolgschade of incidentele schade niet toe, zodat de voorgaande beperking mogelijk niet van toepassing is.

Revisies:

  • 2 augustus 2000: Bulletin Gemaakt.

Gebouwd op 2014-04-18T13:49:36Z-07:00</https:>