Dejablue: Erneut Sicherheitslücken im Windows-Remote-Desktop

Microsoft warnt vor zwei Remote-Code-Execution-Bugs im Remote Desktop Service. Damit lassen sich Windows-Rechner übers Netz kapern, wenn sie die Remoteadministration aktiviert haben. Alle aktuellen Windows-Versionen sind betroffen.

Artikel veröffentlicht am ,
Dejablue wird eine Sicherheitslücke im Windows-Remote-Desktop genannt - in Anspielung auf die bekannte Lücke Bluekeep.
Dejablue wird eine Sicherheitslücke im Windows-Remote-Desktop genannt - in Anspielung auf die bekannte Lücke Bluekeep. (Bild: Microsoft)

Zum zweiten Mal innerhalb kurzer Zeit meldet Microsoft, dass im Remote Desktop Service (RDS) von Windows besonders gefährliche Sicherheitslücken gefunden worden seien. In einem Blogpost des Microsoft-Sicherheitsteams werden diese als "wormable" bezeichnet, sie könnten also für einen Schadsoftware-Wurm genutzt werden, der sich selbst über das Internet immer weiter verbreitet.

Stellenmarkt
  1. Senior Fullstack Softwareentwickler (m/w/d)
    Jobware GmbH, Paderborn
  2. Trainer (m/w/d) - Android App Entwickler / Developer
    WBS GRUPPE, deutschlandweit (Home-Office)
Detailsuche

Im Mai behob Microsoft bereits einen ähnlich gefährlichen Fehler im Remote Desktop, der als Bluekeep bekannt wurde. Bluekeep betraf aber nur alte Windows-Versionen wie Windows 7. Die jetzt gefundene Lücke, die passenderweise Dejablue genannt wird, betrifft alle Versionen von Windows 7 bis Windows 10 sowie Windows Server ab 2008 R2.

Zwei Remote-Code-Execution-Lücken

Insgesamt vier Sicherheitslücken im Remote Desktop Service wurden mit dem jüngsten Windows-Update geschlossen, zwei davon lassen sich zur Ausführung von Code ohne Authentifizierung nutzen. Alle Windows-Nutzer, die den Remote Desktop Service nutzen, sollten daher umgehend die jüngsten Sicherheitsupdates installieren. Wer den Remote Desktop aktiviert hat, ihn aber nicht nutzt, sollte die Funktion abschalten.

Microsoft schreibt zudem, dass das Aktivieren der Funktion Network Level Authentication (NLA) die Auswirkungen der Sicherheitslücken eindämme. Dabei muss sich der Anwender mit einem gültigen Benutzeraccount identifizieren, bevor er eine Remote-Desktop-Sitzung öffnen kann. Ohne NLA lässt sich eine Sitzung bereits vor dem Login aufmachen, der Nutzer verbindet sich dann mit einem Login-Screen.

Golem Akademie
  1. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
Weitere IT-Trainings

NLA gibt es seit Windows Vista, auch unabhängig von der aktuellen Sicherheitslücke ist es sinnvoll, diese Funktion zu aktivieren. Doch Microsoft warnt auch, sich bei der aktuellen Lücke nicht auf NLA zu verlassen: Mit einem gültigen Nutzeraccount kann ein Angreifer die Sicherheitslücken weiterhin ausnutzen und damit etwa seine Rechte ausweiten.

Dejablue wurde von Microsoft selbst gefunden

Microsoft fand die Sicherheitslücken offenbar, weil nach der Bluekeep-Lücke der Remote-Desktop-Service einer genauen Analyse unterzogen wurde. Die Lücken wurden demnach nicht von externen Sicherheitsforschern entdeckt. Laut Microsoft gibt es keine Hinweise dafür, dass jemand außerhalb von Microsoft von den Lücken gewusst habe.

Bei Bluekeep wurde viel darüber spekuliert, wann ein Exploit bereitstehe, der die Lücke praktisch ausnutze. Einige Personen gaben an, Exploits entwickelt zu haben, manche Firmen verkaufen diese auch. Öffentlich verfügbar ist aber bislang kein Exploit, die Entwicklung ist vergleichsweise komplex.

Es lässt sich davon ausgehen, dass es zu massenhaften Angriffen auf mit dem Internet verbundene Windows-Systeme kommt, sobald ein entsprechender Exploit öffentlich wird. Das gilt sowohl für die ältere Bluekeep-Lücke als auch für die jetzt entdeckten Dejablue-Lücken.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Der Nachfolger von Windows 10
Windows 11 ist da

Nun ist es offiziell: Microsoft kündigt das neue Windows 11 an. Vieles war bereits vorher bekannt, einiges Neues gibt es aber trotzdem.

Der Nachfolger von Windows 10: Windows 11 ist da
Artikel
  1. EE: Britische Netzbetreiber führen wieder Roaming ein
    EE
    Britische Netzbetreiber führen wieder Roaming ein

    Für britische Mobilfunk-Nutzer ist die Zeit des freien Telefonierens in der EU bald vorbei. EE und zuvor O2 und Three haben Einschränkungen angekündigt.

  2. Krypto-Betrug in Milliardenhöhe: Gründer von Africrypt stehlen 69.000 Bitcoin
    Krypto-Betrug in Milliardenhöhe
    Gründer von Africrypt stehlen 69.000 Bitcoin

    Die Gründer der Kryptoplattform Africrypt haben sich offenbar mit 69.000 gestohlenen Bitcoin abgesetzt. Der Betrug deutete sich schon vor Monaten an.

  3. Interview: Avatar und die global beleuchteten Mikrodetails von Pandora
    Interview
    Avatar und die global beleuchteten Mikrodetails von Pandora

    Waldplanet statt The Division: Golem.de hat mit dem Technik-Team von Avatar - Frontiers of Pandora über die Snowdrop-Engine gesprochen.
    Ein Interview von Peter Steinlechner

nils01 16. Aug 2019

Vergebene Mühe, über sowas mag keiner berichten, da das Böse aka. Windows schon...

Astorek 14. Aug 2019

Nicht bös gemeint: Deine Ansicht zu dem Thema ist mir wurscht. Ich wollte nur eine...

Enter the Nexus 14. Aug 2019

Das betrifft dich auch im LAN, wenn sich nur ein Rechner im LAN auf andere Weise einen...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Mega-Wiedereröffnung bei MediaMarkt - bis zu 30 Prozent Rabatt • Samsung SSD 980 Pro PCIe 4.0 1TB 166,59€ • Gigabyte M27Q 27" WQHD 170Hz 338,39€ • AMD Ryzen 5 5600X 251,59€ • Dualsense Midnight Black + R&C Rift Apart 99,99€ • Logitech Lenkrad-Sets zu Bestpreisen [Werbung]
    •  /