Patch Tuesday: Windows patzt bei Zertifikatsprüfung
Am heutigen Patch Tuesday von Microsoft sind mehrere gravierende Sicherheitslücken in Windows(öffnet im neuen Fenster) geschlossen worden. Ein Fehler bei der Prüfung von Signaturen(öffnet im neuen Fenster) mit elliptischen Kurven ermöglichte es, die komplette Prüfung von Zertifikatssignaturen auszutricksen. Das gilt sowohl für Codesignaturen als auch für TLS-Zertifikate. Zudem gibt es eine Remote-Code-Execution-Lücke im Remote Desktop Gateway.
TLS-Verbindungen und Codesignaturen angreifbar
Bei der Lücke in der Zertifikatsprüfung handelt es sich um einen Fehler bei der Verarbeitung von Signaturen mit elliptischen Kurven. Durch die Lücke lassen sich Codesignaturen erzeugen, die in verwundbaren Windows-Versionen gültig aussehen. Zudem können TLS-Verbindungen durch einen Man-in-the-Middle-Angriff mitgelesen und manipuliert werden.
Aus einer Ankündigung der NSA(öffnet im neuen Fenster), welche die Lücke an Microsoft meldete, geht hervor, dass Zertifikate, welche die Lücke ausnutzen, individuelle elliptische Kurven als Parameter haben. Bei X.509-Zertifikaten, die sowohl für TLS als auch für Codesignaturen verwendet werden, ist es möglich, entweder standardisierte elliptische Kurven zu verwenden oder die Kurvenparameter manuell anzugeben. Es scheint also so, als ob Windows bei der Verarbeitung von Kurvenparametern einen Fehler macht.
Die weitere Lücke betrifft das Remote Desktop Gateway. Das ist eine Funktion von Windows, mit der sich die Remote-Desktop-Funktion in internen Netzwerken von außen zugänglich machen lässt. Wer diese nutzt, ist besonders gefährdet, denn dabei ist dank der Sicherheitslücken eine Codeausführung über das Netzwerk möglich(öffnet im neuen Fenster). Das normale Remote-Desktop-Protokoll ist davon nicht betroffen.
NSA meldete Lücke an Microsoft
Einem Bericht der Washington Post zufolge(öffnet im neuen Fenster) wurde die Lücke in der Zertifikatsvalidierung von der NSA gefunden und an Microsoft gemeldet. Die NSA bestätigte dies inzwischen(öffnet im neuen Fenster). Der US-Auslandsgeheimdienst nutzt selbst häufig Sicherheitslücken aus, in diesem Fall entschied er sich aber offenbar dazu, die Lücke an den Hersteller zu melden.
Wie immer bei Sicherheitslücken gilt: Wer Windows verwendet, sollte die Updates schnellstmöglich installieren. Insbesondere die Lücke bei der Zertifikatsvalidierung betrifft alle Anwender und ist mit erheblichen Gefahren verbunden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.