Durch eine unzureichende Überprüfung der Privilegien bei der Änderung von Passwörtern mittels LDAP over SSL kann ein Angreifer beliebige Domain-Account-Passwörter, beispielsweise des Domain-Administrator Accounts ändern. Diese Schwachstelle tritt nur bei Windows 2000 mit LDAP over SSL auf (keine default Installation).

Betroffene Systeme

• Microsoft Windows 2000

Einfallstor
LDAP over SSL Request (Port 636) (changetype: modify, add: unicodePwd)

Auswirkung
Ein Angreifer kann beliebige Passwörter (auch Domain-Administrator Passwörter) ändern und somit Administratorprivilegien in der Domain erhalten.

Typ der Verwundbarkeit
Designschwäche (design flaw)
unzureichende Überprüfung der Zugriffsrechte beim einer Änderung von Attributen mittels "LDAP over SSL"

Gefahrenpotential
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Mircosoft Windows 2000 Systeme mit LDAP (Lightweight Directory Access Protocol) über SSL (Port 636) besitzen eine Schwachstelle. Die Zugriffsrechte beim Ändern von Attributen, dem Passwortattribut eines Benutzers, werden nicht korrekt überprüft. Dadurch ist es jedem Benutzer, auch Benutzern die kein Mitglied der Domain sind, möglich, beliebige Passwörter (ohne Kenntnis des alten Passwortes) zu ändern. Ein Angreifer könnte somit beispielsweise das ihm unbekannte Domain-Administrator Passwort ändern und darüber administrative Privilegien in der Domain erhalten.
Bei der Standardinstallation von Windows 2000 wird kein "LDAP over SSL" eingerichtet, d.h. diese Schwachstelle existiert nur bei Systemen die ein Digitales Zertifikat auf dem Server installiert haben und "LDAP over SSL" einsetzen (siehe Q247078).

Gegenmaßahmen
Microsoft stellt Patches zur Verfügung.

• http://www.microsoft.com/Downloads/Release.asp?ReleaseID=31065

Weitere Information zu diesem Thema

• Entrigue.net Press Release
• Q269190 HOWTO: Change a Windows 2000 User's Password Through LDAP
• Q247078 How To Enable Secure Socket Layer (SSL) Communication Over LDAP For Windows 2000 Domain Controllers

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/