März-Patchday: Microsoft verteilt Placebo statt Patch

Der Patch gegen die DNS-Sicherheitslücke MS09-008, den Microsoft seit gestern im Rahmen des März-Patchdays verteilt, verhält sich in vielen Fällen wie ein Placebo. Das berichtet Tyler Reguly vom IT-Sicherheitsunternehmen nCircle in einem Blogeintrag.

Die Lücke erlaubt Benutzern, einen WPAD-Eintrag in die DNS-Server vorzunehmen, wenn dynamische Updates eingeschaltet sind. Internet Explorer und andere Browser lesen diesen Eintrag aus, um einen möglichen Proxyserver automatisch zu ihrer Konfiguration hinzuzufügen.

Indem Benutzer diese Einträge manipulieren, ist es ihnen möglich, große Teile des Internet-Traffics über eigene Rechner umzuleiten. Das erlaubt nicht nur ein Abhören, sondern auch das Senden von manipulierten Informationen an den Browser eines ahnungslosen Users.

Reguly konnte feststellen, dass der Patch keine Sperre des WPAD-Eintrag in der Registry vornimmt, wenn bereits WPAD-Einträge vorhanden sind. In diesem Fall beendet sich das Patchprogramm ohne jeglichen Effekt. Das könne beispielsweise daher rühren, dass bereits Manipulationen an der DNS-Konfiguration vorgenommen wurden.

Auch wenn sich legitime WPAD-Einträge in der DNS-Konfiguration befinden, etwa um den Internet-Verkehr über eine Security-Appliance des Unternehmens zu leiten, bleibt der Patch wirkungslos. In der Systemsteuerung steht das Update in jedem Fall als installiert – ob es nun etwas gepatcht hat oder nicht.

Administratoren von Windows-Servern mit installiertem DNS-Server sollten auf jeden Fall den Registry-Key HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesDNSParametersGlobalQueryBlockList prüfen. Dieser muss die Einträge wpad und isatap enthalten, ansonsten hat der Patch nur einen Placebo-Effekt.

Der Art und Weise, wie Microsoft die Sicherheitslücke MS09-008 „behebt“, muss ohnehin als Holzhammermethode gegen die Symptome bezeichnet werden: Die grundsätzliche Sperre der WPAD-Einträge im DNS kann Nebeneffekte haben. Entscheidet man sich beispielsweise nach der Installation des Patches dafür, eine Security-Appliance einzusetzen, wird man feststellen, dass man DNS nun gar nicht mehr dazu benutzen kann, den Internet-Verkehr umzuleiten.

Erst vor einer Woche rügte Microsoft-EMEA-Sicherheitschef Roger Halbheer erneut die Administratoren von Firmennetzen, dass sie Patches nicht einspielten. Mit dem gestrigen Update beweist Microsoft allerdings erneut, dass die Nebeneffekte von Updates auch Probleme im Betrieb verursachen können.

ZDNet.de Redaktion

Recent Posts

KI-gestütztes Programmieren bringt IT-Herausforderungen mit sich

OutSystems-Studie: 62 Prozent der Befragten haben Sicherheits- und Governance-Bedenken bei Softwareentwicklung mit KI-Unterstützung.

2 Tagen ago

Studie: Ein Drittel aller E-Mails an Unternehmen sind unerwünscht

Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…

5 Tagen ago

HubPhish: Phishing-Kampagne zielt auf europäische Unternehmen

Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…

6 Tagen ago

1. Januar 2025: Umstieg auf E-Rechnung im B2B-Geschäftsverkehr

Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.

6 Tagen ago

Google schließt schwerwiegende Sicherheitslücken in Chrome 131

Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…

6 Tagen ago

Erreichbarkeit im Weihnachtsurlaub weiterhin hoch

Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…

7 Tagen ago