{"id":311062,"date":"2025-04-29T12:22:16","date_gmt":"2025-04-29T10:22:16","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=311062"},"modified":"2025-04-30T11:37:34","modified_gmt":"2025-04-30T09:37:34","slug":"verwirrung-um-0-click-ntlm-authentication-bypass-telnet-in-windows","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/04\/29\/verwirrung-um-0-click-ntlm-authentication-bypass-telnet-in-windows\/","title":{"rendered":"Verwirrung um 0-Click-NTLM Authentication Bypass (Telnet) in Windows"},"content":{"rendered":"

[English]<\/a>\"Windows\"Mir ist gerade eine Information zu einer Schwachstelle im Microsoft Telnet Server untergekommen. \u00dcber die Schwachstelle soll ein -Click-NTLM Authentication Bypass m\u00f6glich sein. Betroffen sind gl\u00fccklicherweise nur alte Systeme bis Windows Server 2008 R2. Dort sollte Telnet deaktiviert werden.<\/p>\n

<\/p>\n

\"\"Ein Blog-Leser hat mich in einer privaten Nachricht auf X auf den nachfolgenden Tweet hingewiesen. Liest sich etwas alarmierend.<\/p>\n

\"0-Click<\/p>\n

Es gebe eine 0-Click NTLM Authentication Bypass-Schwachstelle im Microsoft Telnet Server. Inzwischen sei ein Proof of Concept (PoC) ver\u00f6ffentlicht worden, ein Patch existiere nicht. Der verlinkte Artikel titelt in obigem Screenshot, dass Microsoft Telnet durch eine 0-Click-Schwachstelle angreifbar sei und sofortiges Eingreifen erfordere.<\/p>\n

Klang recht alarmierend – obiger Tweet verlinkt auf den Artikel\u00a00-Click NTLM Authentication Bypass Hits Microsoft Telnet Server, PoC Releases, No Patch<\/a> von Security Online. Der Artikelautor bezieht sich auf einen GitHub-Beitrag von hackerhouse-opensource<\/em>, der inzwischen aber gel\u00f6scht wurde. Ich habe den Beitrag aber noch im Internetarchive<\/a> gefunden.<\/p>\n

Unter der \u00dcberschrift Microsoft Telnet Server MS-TNAP Authentication Bypass [RCE 0day]<\/em> hei\u00dft es, dass es eine kritische 0-Klick-Remote-Authentication Bypass -Schwachstelle im Microsoft Telnet Server gebe. Diese erm\u00f6glicht es Angreifern, sich ohne g\u00fcltige Anmeldeinformationen als beliebiger Benutzer (auch als Administrator)\u00a0 Zugang zu Systemen zu verschaffen. Die Sicherheitsl\u00fccke nutze eine Fehlkonfiguration in den NTLM-Authentifizierungsprozessen der Telnet-Erweiterung MS-TNAP aus, die nicht authentifizierten Angreifern remote erm\u00f6glicht, die Authentifizierung zu umgehen.<\/p>\n

Im Repository wurde ein Proof of Concept (PoC) Exploit f\u00fcr diese, in der Implementierung der NTLM-Authentifizierung \u00fcber MS-TNAP in Microsoft Telnet Server, als kritisch eingestufte Authentifizierungsumgehungsschwachstelle, vorgestellt.<\/p>\n

Allerdings kann man sehr schnell Entwarnung geben. Denn die Sicherheitsl\u00fccke erm\u00f6glicht zwar die vollst\u00e4ndige Umgehung der Authentifizierung durch Manipulation des gegenseitigen Authentifizierungsprozesses. Aber das Ganze betrifft\u00a0 nur Uralt-Systeme von Windows 2000 bis Windows Server 2008 R2, die l\u00e4ngst aus dem regul\u00e4ren Support gefallen sind und als Windows Server 2008 R2 und noch ESU-Support und Updates erhalten. Wer noch einen solchen Server betreibt, der per Netzwerk von \"au\u00dfen\" erreichbar ist, sollte den Telnet-Server deaktivieren.<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Mir ist gerade eine Information zu einer Schwachstelle im Microsoft Telnet Server untergekommen. \u00dcber die Schwachstelle soll ein -Click-NTLM Authentication Bypass m\u00f6glich sein. Betroffen sind gl\u00fccklicherweise nur alte Systeme bis Windows Server 2008 R2. Dort sollte Telnet deaktiviert werden.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,2557],"tags":[6664,4328,8579,4364],"class_list":["post-311062","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows-server","tag-schwachstelle","tag-sicherheit","tag-telnet","tag-windows-server"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/311062","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=311062"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/311062\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=311062"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=311062"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=311062"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}