Sicherheitslücke in Windows 2000 gefährlicher als behauptet?

NGSSoftware: Sicherheitsleck in Windows 2000 auch ohne IIS 5.0 nutzbar

Die am 18. März 2003 vermeldete Sicherheitslücke in Windows 2000 macht Microsoft erneut Schwierigkeiten. Nachdem der Patch auf bestimmten Systemen mit Windows 2000 und installiertem Service Pack 2 das System unbrauchbar machte, äußern Experten nun Zweifel an den Microsoft-Einstufungen zu den Gefahren des Sicherheitslecks.

Nach Angaben von Microsoft steckt das Sicherheitsleck in der WebDAV-Implementierung von Windows 2000, worüber ein Angreifer auf einen damit verbundenen Internet Information Server (IIS) 5.0 Zugriff auf das System erlangt. Dem widersprechen die britischen Sicherheitsexperten von Next Generation Security Software (NGSSoftware). In einem PDF-Dokument erklären sie, dass die Sicherheitslücke auch ohne ISS 5.0 von Angreifern ausgenutzt werden könne.

Nach den Erkenntnissen von NGSSoftware lassen sich zahlreiche Applikationen und Dienste dazu missbrauchen, das Sicherheitsleck auszunutzen. Daher raten die Experten von NGSSoftware, den Patch auf Systemen mit Windows 2000 unverzüglich zu installieren, auch wenn der IIS 5.0 auf den betreffenden Systemen nicht aufgespielt wurde. Wie ein Artikel auf NTBugtraq belegt, sollte man sicherheitshalber das Service Pack 3 von Windows 2000 vorher installieren, weil es ansonsten zu Problemen nach der Installation kommen kann.