Microsoft untersucht SSL/TLS-Lücke in Windows

Microsoft untersucht eine Schwachstelle in den Verschlüsselungsprotokollen Secure Sockets Layer (SSL) und Transport Layer Security (TLS). Angreifer könnten die Spoofing-Lücke nach Unternehmensangaben ausnutzen, um Anwender auf eine gefälschte Website mit Schadsoftware zu locken.

Das Problem tritt laut Microsoft bei den Betriebssystemen Windows 2000 SP4, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 auf. Da es sich bei SSL und TLS um Internet-Standards handelt und die Schwachstelle auch andere Hersteller betreffen könnte, arbeitet der Softwarekonzern nach eigenen Angaben mit dem Internet Consortium for Advancement of Security on the Internet (Icasi) zusammen.

In einem Security Advisory heißt es, dass Microsoft bislang keine Angriffe auf Basis der Lücke bekannt seien. Auch sei der Webserver IIS 6.0 in der Standardkonfiguration nicht von dem Problem betroffen. Für Endanwender bestehe nur dann eine Gefahr, wenn ein Angreifer zunächst eine erfolgreiche Man-in-the-middle-Attacke durchführe, indem er eine andere Codelücke ausnutze.

Microsoft will die Schwachstelle nach eigenen Angaben entweder im Rahmen des nächsten Patchdays am 9. März oder mit einem außerplanmäßigen Update schließen. Inzwischen stellt das Unternehmen Systemadministratoren einen Workaround zur Verfügung, mit dem sie verhindern können, dass Client und Server unterbrochene SSL/TLS-Verbindungen erneut aushandeln.