{"id":233432,"date":"2020-07-15T10:05:59","date_gmt":"2020-07-15T08:05:59","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=233432"},"modified":"2024-08-12T13:44:08","modified_gmt":"2024-08-12T11:44:08","slug":"kritisches-update-fr-sigred-bug-im-windows-dns-server","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/07\/15\/kritisches-update-fr-sigred-bug-im-windows-dns-server\/","title":{"rendered":"Kritisches Update f&uuml;r SigRed Bug im Windows DNS Server"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2020\/07\/15\/critical-update-for-sigred-bug-in-windows-dns-server\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]Im Code des Windows DNS Server existiert seit 17 Jahren ein Bug, der zu einer\u00a0 kritischen Schwachstelle f\u00fchrt. Die per Wurm ausnutzbare Schwachstelle k\u00f6nnte ausgenutzt werden, um Domain-Administrator-Privilegien zu erlangen und die gesamte dahinter liegende Unternehmensinfrastruktur zu gef\u00e4hrden.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg04.met.vgwort.de\/na\/4a7d931673af41089c9717d61b1d7eaa\" alt=\"\" width=\"1\" height=\"1\" \/>Ich habe die Information bereits gestern Abend von Check Point, aber unter Embargo, erhalten, komme daher erst jetzt dazu, die Details zu publizieren. Sicherheitsforscher von Check Point Software Technologies sind auf eine Schwachstelle gesto\u00dfen, die seit 17 Jahre unentdeckt geblieben war. Die SIGRed genannte Schwachstelle ist so gef\u00e4hrlich, dass Microsoft der Behebung die h\u00f6chstm\u00f6gliche Priorit\u00e4t einr\u00e4umte. Alle Windows-Server-Betriebssysteme seit 2003 sind betroffen. Ein Patch steht bereit. Au\u00dferdem existiert ein tempor\u00e4rer Workaround.<\/p>\n<h2>Kritische Schwachstelle SIGRed (CVE-2020-1350)<\/h2>\n<p>In ihrem <a href=\"https:\/\/web.archive.org\/web\/20230306090948\/https:\/\/research.checkpoint.com\/2020\/resolving-your-way-into-domain-admin-exploiting-a-17-year-old-bug-in-windows-dns-servers\/\" target=\"_blank\" rel=\"noopener noreferrer\">Blog-Beitrag<\/a> beschreiben die Sicherheitsforscher von Check Point Software Technologies die Schwachstelle SIGRed (<a href=\"https:\/\/cve.mitre.org\/cgi-bin\/cvename.cgi?name=CVE-2020-1350\" target=\"_blank\" rel=\"noopener noreferrer\">CVE-2020-1350<\/a>) bei der Remotecodeausf\u00fchrung in Windows-Dom\u00e4nennamenssystem-Servern. Die Schwachstelle basiert auf dem Bug, dass Anfragen nicht ordnungsgem\u00e4\u00df verarbeitet werden. Das Ganze ist auch als \"Windows DNS Server Remote Code Execution Vulnerability\" bekannt.<\/p>\n<p>SIGRed (CVE-2020-1350) ist eine wurmf\u00e4hige, kritische Schwachstelle, der ein CVSS-Basiswert von 10,0 zugewiesen wurde. Die Schwachstelle befindet sich im Windows DNS-Server, und betrifft die Windows Server-Versionen 2003 bis 2019. Durch die Schwachstelle kann eine b\u00f6swillige DNS-Antwort ausgel\u00f6st werden. Da der betreffende Dienst mit erh\u00f6hten Privilegien (SYSTEM) ausgef\u00fchrt wird, erh\u00e4lt ein Angreifer bei erfolgreicher Ausnutzung die Rechte eines Dom\u00e4nenadministrators. Dadurch wird die gesamte Unternehmensinfrastruktur effektiv gef\u00e4hrdet.<\/p>\n<p>(Quelle: <a href=\"https:\/\/youtu.be\/PUlMmhD5it8\" target=\"_blank\" rel=\"noopener\">YouTube<\/a>)<\/p>\n<p>Durch das Senden einer DNS-Antwort, die einen gro\u00dfen (mehr als 64 KB) SIG-Eintrag enth\u00e4lt, k\u00f6nnen Angreifer einen kontrollierten Heap-basierten Puffer\u00fcberlauf von etwa 64 KB verursachen und so Schadcode zur Ausf\u00fchrung bringen. Check Point Software Technologies demonstriert das Ganze in obigem YouTube-Video, und legt in ihrem <a href=\"https:\/\/web.archive.org\/web\/20230306090948\/https:\/\/research.checkpoint.com\/2020\/resolving-your-way-into-domain-admin-exploiting-a-17-year-old-bug-in-windows-dns-servers\/\" target=\"_blank\" rel=\"noopener noreferrer\">Blog-Beitrag<\/a> die Details offen.<\/p>\n<blockquote><p>Das Domain Name System (DNS) ist quasi das 'Telefonbuch des Internet' und erm\u00f6glicht Clients sich mit Servern zu verbinden, um auf Ressourcen zuzugreifen. Es ist ein Modell, das Dom\u00e4nennamen auf IP-Adressen abbildet, um eine Verbindung zum richtigen Server zu erm\u00f6glichen. Wird diese Zuordnung manipuliert, ger\u00e4t das ganze Konzept in eine sicherheitstechnische Schieflage.<\/p><\/blockquote>\n<h2>Microsoft stellt Patch und Workaround bereit<\/h2>\n<p>Microsoft hat <a href=\"https:\/\/web.archive.org\/web\/20230209003216\/https:\/\/msrc-blog.microsoft.com\/2020\/07\/14\/july-2020-security-update-cve-2020-1350-vulnerability-in-windows-domain-name-system-dns-server\/\" target=\"_blank\" rel=\"noopener noreferrer\">diese Kurzmitteilung<\/a> zur Schwachstelle ver\u00f6ffentlicht und f\u00fchrt Details im Beitrag zu <a href=\"https:\/\/portal.msrc.microsoft.com\/en-US\/security-guidance\/advisory\/CVE-2020-1350\" target=\"_blank\" rel=\"noopener noreferrer\">CVE-2020-1350<\/a> aus. Dort werden die kritischen Updates f\u00fcr Windows Server 2008 SP2 bis hin zu Windows Server Version 2004 (Server Core-Installation) aufgelistet. Der Bug wird mit den regul\u00e4ren Updates f\u00fcr Windows zum Patchday 14. Juli 2020 beseitigt.<\/p>\n<p>Falls ein Patch nicht sofort installiert werden kann, gibt Microsoft im Supportbeitrag <a href=\"https:\/\/support.microsoft.com\/en-us\/help\/4569509\/windows-dns-server-remote-code-execution-vulnerability\" target=\"_blank\" rel=\"noopener noreferrer\">KB4569509<\/a> noch weitere Hinweise, wie die Schwachstelle durch einen Workaround zumindest abgemildert werden kann. Dazu ist in der Registry der Schl\u00fcssel:<\/p>\n<p>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\DNS\\Parameters<\/p>\n<p>mit dem 32-Bit-DWORD Wert <em>TcpReceivePacketSize = 0xFF00<\/em> einzutragen. Hier noch einige Werte:<\/p>\n<ul>\n<li>Der Standardwert (auch max.) = 0xFFFF<\/li>\n<li>Der empfohlene Wert = 0xFF00 (255 Bytes weniger als das Maximum)<\/li>\n<\/ul>\n<p>Sie m\u00fcssen den DNS-Dienst neu starten, damit die Registrierungs\u00e4nderung wirksam wird. Da es hier im Blog bereits nachgefragt wurde: TCP-basierte DNS-Antwortpakete, die den empfohlenen Wert \u00fcberschreiten, werden ohne Fehler verworfen. Das k\u00f6nnte dazu f\u00fchren, dass einige Anfragen nicht beantwortet werden, und es zu einem unvorhergesehenen Ausfall kommt. Ein DNS-Server wird von diesem Workaround aber nur dann negativ beeinflusst, wenn er g\u00fcltige TCP-Antworten erh\u00e4lt, die gr\u00f6\u00dfer sind als im Workaround definiert (\u00fcber 65.280 Byte). Details sind dem <a href=\"https:\/\/support.microsoft.com\/en-us\/help\/4569509\/windows-dns-server-remote-code-execution-vulnerability\" target=\"_blank\" rel=\"noopener noreferrer\">Artikel hier<\/a> samt FAQ zu entnehmen.<\/p>\n<p><strong>\u00c4hnliche Artikel:<br \/>\n<\/strong><a href=\"https:\/\/borncity.com\/blog\/2020\/07\/08\/microsoft-office-patchday-7-juli-2020\/\">Microsoft Office Patchday (7. Juli 2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/07\/15\/microsoft-security-update-summary-14-juli-2020\/\">Microsoft Security Update Summary (14. Juli 2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/07\/15\/patchday-windows-10-updates-14-juli-2020\/\">Patchday: Windows 10-Updates (14. Juli 2020)<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Im Code des Windows DNS Server existiert seit 17 Jahren ein Bug, der zu einer\u00a0 kritischen Schwachstelle f\u00fchrt. Die per Wurm ausnutzbare Schwachstelle k\u00f6nnte ausgenutzt werden, um Domain-Administrator-Privilegien zu erlangen und die gesamte dahinter liegende Unternehmensinfrastruktur zu gef\u00e4hrden.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,185,2557],"tags":[4328,4364],"class_list":["post-233432","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-update","category-windows-server","tag-sicherheit","tag-windows-server"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/233432","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=233432"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/233432\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=233432"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=233432"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=233432"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}