{"id":192678,"date":"2017-08-01T01:22:11","date_gmt":"2017-07-31T23:22:11","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=192678"},"modified":"2022-06-27T09:29:08","modified_gmt":"2022-06-27T07:29:08","slug":"obacht-bei-microsofts-ldap-server-cve-2017-8563-fix","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/08\/01\/obacht-bei-microsofts-ldap-server-cve-2017-8563-fix\/","title":{"rendered":"Obacht bei Microsofts LDAP Server CVE-2017-8563 Fix"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2013\/03\/winb.jpg\" width=\"58\" align=\"left\" height=\"58\"\/>[<a href=\"https:\/\/borncity.com\/win\/2017\/08\/01\/beware-of-microsofts-ldap-server-cve-2017-8563\/\" target=\"_blank\" rel=\"noopener\">English<\/a>]Microsoft hat am 11. Juli 2017 ein Update zum Schlie\u00dfen der Windows Elevation of Privilege Vulnerability (CVE-2017-8563) f\u00fcr alle unterst\u00fctzten Windows Client freigegeben. Beim Einspielen der Updates m\u00fcssen Administratoren aber aufpassen, da andernfalls die Sicherheit in Active Directory-Umgebungen auf dem Spiel steht. <\/p>\n<p><!--more--><\/p>\n<h2>Sicherheit von Dom\u00e4nencontrollern bedroht<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/0e9005fb6d434fe58a3421fc4a2f1677\" width=\"1\" height=\"1\"\/>Das Thema Active Directory und Dom\u00e4nencontroller ist nicht so meine Baustelle. Daher habe ich das Thema nur am Rande verfolgt. <img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/36b062c2b8d246b984033912bbd978c7\" width=\"1\" height=\"1\"\/>The Hacker News hat es <a href=\"http:\/\/thehackernews.com\/2017\/07\/windows-ntlm-security-flaw.html?m=1\" target=\"_blank\" rel=\"noopener\">hier<\/a> thematisiert, in den Microsoft Windows NTLM Security Protokollen gab es einige Sicherheitsl\u00fccken. The Hacker News schreibt:<\/p>\n<blockquote>\n<p>The first vulnerability involves unprotected Lightweight Directory Access Protocol (LDAP) from NTLM relay, and the second impact Remote Desktop Protocol (RDP) Restricted-Admin mode.<\/p>\n<\/blockquote>\n<p>\u00dcber die L\u00fccke kann ein Angreifer \u00fcber einen ungepatchten Client einen Dom\u00e4nencontroller \u00fcbernehmen. <\/p>\n<h2>Update verf\u00fcgbar, Installation nicht ausreichend<\/h2>\n<p>Die gute Nachricht ist, dass Microsoft am 11. Juli 2017 Updates zum Schlie\u00dfen der Elevation of Privilege Vulnerability (CVE-2017-8563) bereitgestellt hat. In <a href=\"https:\/\/portal.msrc.microsoft.com\/en-us\/security-guidance\/advisory\/CVE-2017-8563\" target=\"_blank\" rel=\"noopener\">CVE-2017-8563<\/a> beschreibt Microsoft die Sicherheitsl\u00fccke: <\/p>\n<blockquote>\n<p><em>An elevation of privilege vulnerability exists in Microsoft Windows when a man-in-the-middle attacker is able to successfully forward an authentication request to a Windows LDAP server, such as a system running Active Directory Domain Services (AD DS) or Active Directory Lightweight Directory Services (AD LDS), which has been configured to require signing or sealing on incoming connections.<\/em><\/p>\n<\/blockquote>\n<p>\u00dcber die verlinkte <a href=\"https:\/\/portal.msrc.microsoft.com\/en-us\/security-guidance\/advisory\/CVE-2017-8563\" target=\"_blank\" rel=\"noopener\">CVE-2017-8563<\/a>-Seite l\u00e4sst sich erkennen, dass Updates f\u00fcr alle unterst\u00fctzten Windows-Clients Updates bereitstellt. Die Patches werden \u00fcber Windows Update zur Installation angeboten. <\/p>\n<p>Die schlechte Nachricht ist allerdings, dass die Installation der Updates in einer Active Directory-Umgebung nicht ausreichend ist. Der Dom\u00e4nencontroller k\u00f6nnte nach wie vor \u00fcbernommen werden \u2013 wie jemand in <a href=\"https:\/\/www.administrator.de\/wissen\/nacharbeiten-patch-dom%C3%A4nencontroller-erforderlich-344647.html\" target=\"_blank\" rel=\"noopener\">diesem Post<\/a> bei administrator.de anmerkt. Microsoft schreibt in den KB-Artikeln zu den <a href=\"https:\/\/portal.msrc.microsoft.com\/en-us\/security-guidance\/advisory\/CVE-2017-8563\" target=\"_blank\" rel=\"noopener\">CVE-2017-8563<\/a>-Updates (z.B. <a href=\"https:\/\/support.microsoft.com\/de-de\/help\/4025338\/windows-10-update-kb4025338\" target=\"_blank\" rel=\"noopener\">hier<\/a>)<\/p>\n<blockquote>\n<p>Nach der Installation der Sicherheitsupdates f\u00fcr CVE-2017-8563 m\u00fcssen Administratoren den Registrierungsschl\u00fcssel \u201eLdapEnforceChannelBinding\" festlegen, um die CVE-Korrektur zu aktivieren. Weitere Informationen zum Festlegen des Registrierungsschl\u00fcssels finden Sie im Microsoft Knowledge Base-Artikel <a href=\"https:\/\/support.microsoft.com\/de-de\/help\/4034879\" target=\"_blank\" rel=\"noopener\">4034879<\/a><u><\/u>.<\/p>\n<\/blockquote>\n<blockquote><\/blockquote>\n<p>Unter dem Microsoft Knowledge Base-Artikel <a href=\"https:\/\/support.microsoft.com\/de-de\/help\/4034879\" target=\"_blank\" rel=\"noopener\">4034879<\/a> findet man dann folgende Details:  <\/p>\n<ul>\n<li>Bevor Sie diese Einstellung auf einem Dom\u00e4nencontroller aktivieren, m\u00fcssen Sie auf den Clients das in <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/en-US\/vulnerability\/CVE-2017-8563\" target=\"_blank\" rel=\"noopener\">CVE-2017-8563<\/a> beschriebene Sicherheitsupdate installieren. Andernfalls k\u00f6nnen Kompatibilit\u00e4tsprobleme auftreten, und es kann passieren, dass LDAP-Authentifizierungsanfragen \u00fcber SSL\/TLS, die bisher funktioniert haben, abgelehnt werden. Diese Einstellung ist standardm\u00e4\u00dfig deaktiviert.  <\/li>\n<li>Der Registrierungseintrag LdapEnforceChannelBindings muss explizit erstellt werden.  <\/li>\n<li>Der LDAP-Server reagiert dynamisch auf \u00c4nderungen an diesem Registrierungseintrag. Daher m\u00fcssen Sie den Computer nicht neu starten, nachdem Sie die Registrierungs\u00e4nderung vorgenommen haben.<\/li>\n<\/ul>\n<p>Bei administrator.de hat der Tippgeber in <a href=\"https:\/\/www.administrator.de\/wissen\/nacharbeiten-patch-dom%C3%A4nencontroller-erforderlich-344647.html\" target=\"_blank\" rel=\"noopener\">diesem Thread<\/a> ein Script ver\u00f6ffentlicht, mit dem man pr\u00fcfen kann, ob das Update installiert ist. Vielleicht hilft es euch in euren Active Directory Umgebungen weiter.&nbsp; <\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Microsoft hat am 11. Juli 2017 ein Update zum Schlie\u00dfen der Windows Elevation of Privilege Vulnerability (CVE-2017-8563) f\u00fcr alle unterst\u00fctzten Windows Client freigegeben. Beim Einspielen der Updates m\u00fcssen Administratoren aber aufpassen, da andernfalls die Sicherheit in Active Directory-Umgebungen auf dem &hellip; <a href=\"https:\/\/borncity.com\/blog\/2017\/08\/01\/obacht-bei-microsofts-ldap-server-cve-2017-8563-fix\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,185,3694,2557],"tags":[4328,4315,4325],"class_list":["post-192678","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-update","category-windows-10","category-windows-server","tag-sicherheit","tag-update","tag-windows"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/192678","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=192678"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/192678\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=192678"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=192678"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=192678"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}