Redirect to SMB: Uralte Sicherheitslücke in allen Windows-Versionen

IT-Sicherheitsexperten haben die Schwachstelle Redirect to SMB wiederentdeckt, die sämtliche Windows-Versionen betrifft. Sie lässt sich auch über zahlreiche Anwendungen ausnutzen. Unter Umständen geben Nutzer ihre Zugangsdaten zum Windows-Netzwerk preis.

Artikel veröffentlicht am ,
Über Redirect to SMB können Angreifer ihre Opfer auf ihre SMB-Server umleiten und dort etwa Zugangsdaten erbeuten.
Über Redirect to SMB können Angreifer ihre Opfer auf ihre SMB-Server umleiten und dort etwa Zugangsdaten erbeuten. (Bild: Cylance)

Die bereits seit mehr als 18 Jahren bekannte Schwachstelle Redirect to SMB betrifft weiterhin sämtliche Windows-Versionen. Sie kann nach Angaben von IT-Sicherheitsexperten mit moderner Hardware ausgenutzt werden, um die Zugangsdaten eines Opfers zum Windows-Netzwerk zu stehlen und Passwörter zu entschlüsseln. Auch viel Software ist von der Schwachstelle betroffen, darunter die Update-Funktionen einiger Antivirussoftware.

Stellenmarkt
  1. Business Analyst IT-Nachfrage (m/w/d)
    ITERGO Informationstechnologie GmbH, Köln, Hamburg
  2. IT-Applikationsadministrator (w/m/d) Vertriebsmanagementsysteme
    Kölner Verkehrs-Betriebe AG, Köln
Detailsuche

Die Schwachstelle Redirect to SMB wurde bereits 1997 von Aaron Spangler beschrieben und 2009 von Microsoft bestätigt. Mit in HTTP-Anfragen eingebetteten Datei-URLs können Windows-Rechner dazu gebracht werden, eine Verbindung mit einem fremden SMB-Server herzustellen. Bei dem Verbindungsaufbau werden Benutzernamen und verschlüsselte Passwörter auf dem SMB-Server gespeichert.

Verankert in APIs

In ihrem Experiment setzten die IT-Sicherheitsexperten bei Cylance zunächst einen einfachen Webserver auf, der HTTP- beziehungsweise HTTPS-Anfragen mit einer 302-Weiterleitung beantwortete. Statt auf einen weiteren Webserver zu verweisen, wurden Anfragen über die URL file:// an einen SMB-Server weitergeleitet. Dort versuchte sich der Rechner des Opfers automatisch zu verbinden.

Die Weiterleitung auf eine Datei-URL stellen zahlreiche APIs in der Windows-Bibliothek Urlmon.dll zur Verfügung. Nicht wenige Anwendungen greifen auf diese APIs zu, darunter die Aktualisierungsfunktionen in einigen Antivirenprogrammen oder in Apples Software Update. Selbst Microsofts Baseline Security Analyzer ist betroffen. Cylance hat die Schwachstelle in mindestens 31 Anwendungen entdeckt.

Umleitungen per Proxy

Golem Karrierewelt
  1. Automatisierung (RPA) mit Python: virtueller Zwei-Tage-Workshop
    03./04.11.2022, Virtuell
  2. Kubernetes Dive-in-Workshop: virtueller Drei-Tage-Workshop
    11.-13.10.2022, Virtuell
Weitere IT-Trainings

Um die Schwachstelle auszunutzen, müssen Angreifer Zugriff auf zumindest Teile des Netzwerkverkehrs eines Opfers haben. Die Experten bei Cylance gehen davon aus, dass speziell präparierte Werbung einen möglichen Angriffspunkt darstellt. Auch in offenen WLANs lässt sich Redirect to SMB leicht ausnutzen. Cylance greift in ihren Beispielen auf frei erhältliche Werkzeuge wie Zarp oder MITMProxy zu, um etwa per ARP oder DNS Cache Poisoning den Datenverkehr eines Opfers auf einen präparierten SMB-Server umzuleiten.

Das bei SMB-Servern gängige Authentifizierungsverfahren NTLMv2 (NT LAN Manager) verschlüsselt die übertragenen Passwörter. NTLMv2 wurde bereits 1998 entwickelt. Mit aktueller Hardware könnten so verschlüsselte Passwörter aber inzwischen recht schnell entschlüsselt werden, schreiben die Cylance-Forscher in ihrer Analyse. Ausgehend von den bei Oclhashcat veröffentlichten Benchmarks reichen GPUs im Wert von 3.000 US-Dollar, um achtstellige alphanumerische Passwörter bei Brute-Force in etwa 9,5 Stunden zu knacken.

Cylance hat die betroffenen Hersteller bereits informiert. Bis die Schwachstellen behoben werden, raten die Experten die von SMB genutzten Ports TCP 139 und 445 in Firewalls zu blockieren, um ausgehende Verbindungen zu verhindern. In seiner Warnung rät das Cert zudem, die Gruppenrichtlinien für NTLMv2 anzupassen oder ganz darauf zu verzichten und stattdessen das sicherere Kerberos für die Authentifizierung zu verwenden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


ratzeputz113 15. Apr 2015

Ich würde jetzt mal ganz mutig und locker-flockig sagen: Ja, ist mir bewusst.* Worauf...

whitbread 14. Apr 2015

Also wer smb Authentifizierung als sicher erachtet hatte ist selber schuld imho; ebenso...

pythoneer 14. Apr 2015

Das ist leider falsch. Wir haben 26 Klein- und 26 Großbuchstaben und 10 Ziffern von 0...

ratzeputz113 14. Apr 2015

Full Ack



Aktuell auf der Startseite von Golem.de
Rotary Phone
Vom Wählscheiben-Bastelhandy zur eigenen Produktionsanlage

Justine Haupt hat ein Handy mit Wählscheibe entworfen - und gleich eine eigene Produktionsanlage zu Hause aufgebaut. Golem.de hat mit ihr gesprochen.
Ein Interview von Tobias Költzsch

Rotary Phone: Vom Wählscheiben-Bastelhandy zur eigenen Produktionsanlage
Artikel
  1. Internet: Indien verbannt den VLC Media Player
    Internet
    Indien verbannt den VLC Media Player

    Weder Downloadlink noch Webseite des VLC Media Players können von Indien aus aufgerufen werden. Der vermutete Grund: das Nachbarland China.

  2. Effektiv per Newsletter kommunizieren
     
    Effektiv per Newsletter kommunizieren

    Golem.de-Redakteur Daniel Ziegener und der Journalist Dirk von Gehlen geben Tipps zum Start eines eigenen Newsletters - im Livestream am Donnerstag, dem 18. August um 16 Uhr.
    Sponsored Post von Golem Karrierewelt

  3. THG-Prämie: Das fragwürdige Abkassieren mit der eigenen Wallbox
    THG-Prämie
    Das fragwürdige Abkassieren mit der eigenen Wallbox

    Findige Vermittler bieten privaten Wallbox-Besitzern Zusatzeinnahmen für ihren Ladestrom. Wettbewerber sind empört.
    Ein Bericht von Dirk Kunde

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Playstation Sale: Games für PS5/PS4 bis 84% günstiger • PS5 bestellbar • Günstig wie nie: SSD 1TB/2TB, Curved Monitor UWQHD LG 38"/BenQ 32" • Razer-Aktion • MindStar (AMD Ryzen 7 5800X3D 455€, MSI RTX 3070 599€) • Lego Star Wars Neuheiten • Bester Gaming-PC für 2.000€ [Werbung]
    •  /