1456522

Gravierende Sicherheitslücke in Windows 2000

02.05.2001 | 00:00 Uhr |

Microsoft, das weltgrößte Softwarehaus,
hat vor einer Sicherheitslücke in seinem Betriebssystem Windows 2000
für Server gewarnt.

Das Sicherheitsloch ermögliche Hackern, von außerhalb die
Kontrolle über ein internes Computernetzwerk zu gewinnen, sagte am
Mittwoch Microsoft-Sprecher Thomas Baumgärtner in München. Microsoft
habe den Fehler inzwischen behoben. Kunden sollten daher ein
Korrektur-Programm («Patch») in ihr System einspielen, das auf der
Website von Microsoft heruntergeladen werden könne.

Der Fehler betrifft Systeme mit einer beliebigen Version von
Windows 2000 für Server wenn gleichzeitig das Programm Internet
Information Server (IIS) 5.0 eingesetzt wird. Die Software IIS wird
zusammen mit Windows 2000 ausgeliefert, ist allerdings nicht bei
jedem System aktiviert. «Es handelt sich um eine ernsthaft
Sicherheitslücke. Wir wollen sicher stellen, dass alle Kunden
verstehen, wie wichtig es ist, unseren Patch auf ihr System
aufzuspielen», sagte Scott Culp, ein Sicherheits-Programm-Manager der
Microsoft-Zentrale in Redmond (US-Bundesstaat Washington).

Hacker können über eine Schnittstelle in das Windows-System
eindringen, die für das Ausdrucken von Dokumenten über das Internet
bestimmt ist (Internet Service Application Programming Interface).
Wenn mit einem technischen Trick ein Speicherüberlauf erzeugt wird,
gibt die Drucker-Schnittstelle plötzlich die Kontrolle über das
gesamte Netzwerk frei.

Marc Maiffret, der als so genannter «Chief Hacking Officer» für
die Computer-Sicherheitsfirma eEye Digital Security arbeitet,
bewertete die Gefahr für die betroffenen Firmen und Organisationen
als sehr hoch: «Es gibt im Internet mindestens eine Million Web-
Server, bei denen man sich innerhalb weniger Minuten Zugriff auf
System-Ebene verschaffen kann», sagte Maiffret dem Web-
Informationsdienst CNET. Das kalifornische Unternehmen eEye hatte den
Fehler vor einigen Wochen entdeckt und an Microsoft gemeldet.

Der Softwarekonzern veröffentlicht im Web unter der Adresse
http://www.microsoft.com/technet/security/bulletin/MS01-023.asp ein
Sicherheits-Bulletin zu dem Vorfall. Dort kann auch der «Patch»
geladen werden. dpa

0 Kommentare zu diesem Artikel
1456522