• IT-Karriere:
  • Services:

Microsoft IIS: Lücke in Windows-Webserver erlaubt Codeausführung

Microsoft hat mit dem jüngsten Windows-Update eine schwerwiegende Sicherheitslücke in der HTTP-Verarbeitung behoben. Der entsprechende HTTP-Code läuft als Kerneltreiber.

Artikel veröffentlicht am , Hanno Böck
Der verwundbare Code im HTTP.sys-Treiber
Der verwundbare Code im HTTP.sys-Treiber (Bild: Screenshot)

Eine Sicherheitslücke in der Windows-Komponente HTTP.sys erlaubt Angreifern unter Umständen die Ausführung von bösartigem Code. Was die Lücke besonders schwerwiegend macht: HTTP.sys ist ein Kerneltreiber, damit erlaubt die Lücke die Ausführung von Code mit Systemrechten.

Erste Exploitcodes verfügbar

Stellenmarkt
  1. Energieversorgung Mittelrhein AG, Koblenz
  2. OEDIV KG, Bielefeld

Bislang sind nur wenige Details zu der Sicherheitslücke bekannt. Laut dem Security Bulletin von Microsoft sind Windows 7, 8 und 8.1, sowie die Server-Versionen 2008 und 2012 betroffen. Die Lücke hat die Id CVE-2015-1635 erhalten.

Inzwischen sind erste Exploitcodes aufgetaucht, die allerdings nur auf das Vorhandensein der Lücke testen und nicht direkt die Ausführung von Code ermöglichen. Auch für Metasploit gibt es bereits ein Modul, welches auf das Vorhandensein der Lücke testet. Einige Nutzer berichteten, dass die Tests Server zum Absturz bringen können, daher sollten sie nur mit Vorsicht eingesetzt werden.

Fehlender Check des Range-Headers

Die Sicherheitslücke wird offenbar dadurch ausgelöst, wenn man einen HTTP-Range-Header mit besonders großen Werten an den Server schickt.

Nutzer von Windows-Servern sollten ihr System umgehend aktualisieren. Als Workaround kann laut Microsoft auch das Kernel-Caching des IIS-Webservers deaktiviert werden. Neben der kritischen Lücke in HTTP.sys hat Microsoft insgesamt zehn weitere Security Bulletins und dazugehörige Updates veröffentlicht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 418,15€
  2. 515,65€
  3. (u. a. Asus TUF-RTX3080-10G-GAMING 10GB für 739€, MSI GeForce RTX™ 3080 GAMING X TRIO 10GB...
  4. (u. a. GIGABYTE GeForce RTX 3080 Eagle OC 10G für 699€, ASUS GeForce RTX 3080 TUF GAMING für...

the_wayne 24. Apr 2015

Ack! Aber leider gibt es immer wieder Leute, die sich für was besseres halten. Und...

TheUnichi 16. Apr 2015

Andere kriegen es auf die Reihe und sind zufrieden damit, also was willst du uns hier...

Lala Satalin... 16. Apr 2015

Was ein wildes herum geklicke.... Man konnte so gut wie nichts sehen. :D


Folgen Sie uns
       


    •  /