Tags: Windows Server 2022, Schwachstellen, Active Directory
Die Schwachstelle CVE-2022-24508 im SMB-Protokoll 3.1.1 versetzt Angreifer in die Lage, über das Netzwerk beliebigen Code auf den Zielrechnern auszuführen. Betroffen davon sind neuere Versionen von Windows 10 und von Windows Server. Neben einem Patch bietet Microsoft eine Behelfslösung für dieses Problem an.
Die Sicherheitslücke hat eine CVSS-Bewertung von 8.8/7.7, was für eine erhebliche Gefährdung spricht. Sie bedarf demnach keines großes Aufwands und spezieller Kenntnisse, um ausgenutzt zu werden. Entsprechend wurde die Attack Complexity als "low" eingestuft. Im Gegensatz zu früheren SMB-Schwachstellen wie CVE-2020-0796 müssen Angreifer in diesem Fall aber authentifiziert sein.
Neue Windows-Versionen betroffen
Betroffen sind Rechner mit Windows 10 ab 20H2, Windows 11, Windows Server 20H2 und Windows Server 2022. Als Angriffsziele besonders interessant sind File-Server und Domänen-Controller. Letztere benötigen das SMB-Protokoll für den Zugriff auf SYSVOL und Netlogon, so dass man es auf DCs nicht deaktivieren kann.
Microsoft lieferte einen Patch mit dem kumulativen Update für März 2022 aus. Anwender, die das Update noch testen, sollten in der Zwischenzeit die Schwachstelle durch eine Behelfslösung schließen.
Workaround für CVE-2022-24508
Diese besteht darin, die kürzlich eingeführte SMB-Komprimierung zu deaktivieren, weil sie die Ursache für die Sicherheitslücke ist. Dies erklärt auch, warum ältere Versionen des Betriebssystems nicht betroffen. Mittels PowerShell lässt sich das Feature so abstellen:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" `
-Name DisableCompression -Type DWORD -Value 1 -Force
Auch wenn dadurch die unmittelbare Gefahr abwenden kann, sollte man alsbald das Update installieren, so dass man auch SMB Compression wieder nutzen kann.
Zusätzlich empfiehlt Microsoft, in den Perimeter-Firewalls den TCP-Port 445 zu schließen, um Angriffe von außerhalb des Firmennetzes auf diese Komponente zu unterbinden.
Täglich Know-how für IT-Pros mit unserem Newsletter
Verwandte Beiträge
- November-Update bringt 3 Patches für Domain-Controller (CVE-2022-37966, CVE-2022-37967, CVE-2022-38023)
- Active Directory in Windows Server 2022 bleibt auf Funktionsebene von Server 2016
- Berechtigungen für Domain Join delegieren
- Domain Join: Mit Windows 11 einer AD-Domäne beitreten
- baramundi Management Suite 2023 R1: REST-API 2.0, Updates für Ticketing-System und Cloud-Dashboard
Weitere Links
1 Kommentar
Kann man die Lücke tatsächlich per se ausnutzen? Ich frage, da frühere Systeme vor den genannten Versionen noch kein SMB Compression kennen und wohl die wenigsten schon Windows Server 2022 als Domaincontroller oder Fileserver nutzen.
Daher stelle ich mir vor, dass die Lücke vermutlich nur ausgenutzt werden kann wenn sowohl der SMB Client als auch der SMB Server SMB Compression nutzen könnten.
Schön, dass Microsoft so schnell reagiert hat und das CVE nicht schon vor dem Patch veröffentlicht wurde.