Microsofts Exchange 2000 Server hat in der Defaultkonfiguration eine Schwäche, die Zugriff von außen zuläßt. Unter besonderen Umständen ist dabei sogar Zugriff auf Ressourcen einer von diesem Server bedienten Domäne möglich.

Betroffene Systeme Microsoft Exchange Server 2000 unter Windows 2000

Beschreibung Das Email- und Collaborationservicesystem Exchange 2000 für Windows 2000 erzeugt bei der Installation einen Benutzeraccount mit bekanntem Namen und Paßwort. Dieses Konto erlaubt den Zugriff von außen auf das System. Unter normalen Umständen hat dieser Benutzer keinen Zugriff auf Systemdaten des Exchange 2000 Servers, ist der Server allerdings als Domänencontroller konfiguriert, hat der Account Domainuserprivilegien und kann auf Ressourcen der Domäne zugreifen.

Zunächst stellt dies keine unmittelbare Bedrohung für die Systemsicherheit dar, eine mittelbare ist jedoch möglich.
Ein Angreifer kann unter Ausnutzung dieser Lücke das System und ggf. die Domäne erkunden und nach weiteren Sicherheitslücken suchen.
Außerdem sind ggf. sämtliche Ressourcen mit all ihren potentiellen Sicherheitslücken, auf die ein Domänenbenutzer zugreifen kann, auch dem Angreifer zugänglich.

Gefahrenpotential Die Gefährlichkeit dieser Sicherheitslücke ist generell schwer abschätzbar, weil sie von der lokalen Konfiguration der betroffenen Systeme abhängt. Sie sollte daher als leicht- bis mittelgefährlich angesehen werden.

Gegenmaßnahmen Microsoft empfiehlt, einen Patch, der dieses Problem behebt, zu installieren:

• http://www.microsoft.com/Downloads/Release.asp?ReleaseID=25866

Weitere Informationen zu diesem Problem

• http://www.microsoft.com/technet/security/bulletin/fq00-088.asp
• http://cert.uni-stuttgart.de/archive/bugtraq/2000/11/msg00238.html

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/