Badlock-Schwachstellen in Samba und Windows gepatcht

Die vor rund drei Wochen öffentlich gemachten Sicherheitslücken in Samba wurden jetzt in Version 3.6 oder neuer geschlossen. Die unter dem Namen Badlock zusammengefassten Schwachstellen erlauben es einem Angreifer, den Datenverkehr abzuhören, ein Session-Downgrade durchzuführen und die laufende Sitzung zu übernehmen. Mittels eines Man-in-the-Middle-Angriffs könnte er so Passwörter und andere vertrauliche Daten auf einem anfälligen Server ausspähen.

Badlock betrifft vor allem Windows-Server, auf denen Samba läuft. Die Schwachstellen stecken aber auch in nahezu jeder Linux-Distribution, die Samba enthält.

Microsoft hat zum gestrigen Patchday ein „wichtiges“ Update (MS16-047) für alle unterstützten Windows-Versionen bereitgestellt, das die Lücken im Samba-Protokoll schließt. Allerdings sind auch ältere Ausgaben des Microsoft-Betriebssystems bis hin zu Windows NT betroffen, für die jedoch keine Patches mehr erscheinen.

Entdeckt hatte die Schwachstellen ein deutscher Samba-Entwickler, der beim Samba-Support-Dienstleister SerNet arbeitet. Er machte sie vor rund drei Wochen öffentlich, ohne jedoch Details zum Schweregrad zu nennen. Die Vorankündigung sorgte zum Teil für heftige Kritik, weil die Fehler in Code stecken, den der Entwickler selbst geschrieben haben soll. Daher wurden Vorwürfe laut, dass er durch Fehlerbehebungen in seinem eigenen Code Kapital schlagen wollte.

Zudem entbrannte eine Diskussion darüber, wie gefährlich Badlock tatsächlich ist. „Das ist sicherlich ein Grund zur Sorge und Administratoren sollten ihre Systeme schnellstmöglich aktualisieren. Ich kann allerdings nicht sagen, dass diese Schwachstelle einen Schweregrad erreicht, der die Aufmerksamkeit verdient, die Badlock durch eine speziell eingerichtete Website und eine Vorlaufzeit von drei Wochen erhalten hat“, kommentierte etwa Karl Sigler, Threat Intelligence Manager des Sicherheitsanbieters Trustwave.

Jeremy Allison, langjähriger Samba-Entwickler sowie Storage- und Open-Source-Spezialist bei Google, erklärte hingegen, Badlock sei wirklich gefährlich und müsse unbedingt gepatcht werden. „Es betrifft jeden, der RPC-Dienste (Remote Procedure Call) einsetzt. Augrund von bis zu Windows NT zurückreichenden Designentscheidungen nutzt sie jeder einzelne Dateiserver und sie müssen alle gepatcht werden. Da RPCs ebenfalls für Administrator-Fernzugänge verwendet werden, sind praktisch alle Windows- und Samba-Server gefährdet.“

Linux-Distributor Red Hat ist der gleichen Ansicht. Er teilte mit: „Wir sehen die mit Badlock zusammenhängenen Sicherheitsprobleme als ‚kritisch‘ und haben mehrere Advisories und Patches bereitgestellt. Wir empfehlen, betroffene Systeme schnellstmöglich zu aktualisieren.“

In den neuen Samba-Versionen 3.6.25, 4.0.26, 4.2.9, 4.3.6 und 4.4.0 wurden die Badlock-Lücken beseitigt. Die Patches stehen zum Download auf der Samba-Website bereit.

[mit Material von Zack Whittaker und Steven J. Vaughan-Nichols, ZDNet.com]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de