10 von 10 Punkten auf der Gefährdungsskala: Windows Server bedroht

Ein Patch steht seit August bereit, Exploit Code ist seit September im Umlauf. Was ist passiert und wie groß ist die Bedrohung wirklich?

Szenario

Ein Angreifer muss netzwerktechnisch einen Windows Domain Controller (Versionen von 2008 R2 bis zur aktuellen 2004 sind betroffen) erreichen, um das Netlogon Remote Protocol (MS-NRPC) ansprechen zu können. In der Regel wird er also im internen Netz sein oder eine verbockte Firewall Policy vorfinden müssen. Dann aber kann er sich ohne Anmeldung hochstufen (Elevation of Privilege, CVE-2020-1472 bei Microsoft).

Panik?

Sorge scheint vor allem die US amerikanische CISA (Cybersecurity and Infrastructure Security Agency) zu haben. Sie hat die Admins der US-Regierung verpflichtet, innerhalb von vier Tagen alle ihre Server zu patchen. Da wir bereits Ende September haben, sollten gründlich betriebene Systeme den Patch bereits sowieso erhalten haben, aber wir wissen ja, wie das ist…

Laut heise online erwartet die CISA für heute einen Report der Admins über die Windows-Server-Situation. Den bekommen wir vermutlich nicht zu sehen, wäre aber interessant.