Windows Update: Microsoft schließt Kerberos-Lücke außerplanmäßig
Eine kritische Sicherheitslücke im Kerberos-Protokoll zwingt Microsoft zur seltenen Freigabe eines außerplanmäßigen Updates für Windows. Die Lücke betrifft alle aktuell noch von Microsoft unterstützten Windows-Versionen exklusive Windows RT – nur auf den Varianten für Server stellt sie eine Gefahr dar.
Die Lücke ermöglicht es einem Angreifer, schwach privilegierte Netzwerk-Accounts innerhalb einer Active-Directory-Domäne mit Administrator-Privilegien auszustatten und über diesen dann weitere Accounts zu kompromittieren. Der Konzern gibt an, in Kenntnis über mehrere Angriffe dieser Art zu sein.
Unternehmen, die die Aktivitäten des Domäne-Controllers per Logdatei protokollieren, können rückwirkend in Erfahrung bringen, ob ein solcher Angriff stattgefunden hat, erklärt Microsoft.
Auch ältere Versionen von Windows wie Windows XP oder Windows 2000 dürften die Lücke aufweisen, sie werden von Microsoft allerdings nicht mehr unterstützt. Windows 2000 hatte die Active Directories erstmals eingeführt. Eine Ausnahme für Windows XP wie bei der Sicherheitslücke im Internet Explorer im Mai 2014 macht Microsoft nicht.
Anwender der betroffenen Server-Varianten werden dringen dazu aufgerufen, einen manuellen Suchlauf nach Updates durchzuführen. Und auch Besitzern der betroffenen Desktop-Betriebssysteme wird eine Aktualisierung angeraten, da neben der veröffentlichten Lücke weitere Schwachstellen beseitigt worden sein sollen.
Ursprünglich hatte Microsoft das Update bereits für den monatlichen Patchday am 11. November vorgesehen, warum die Veröffentlichung kurzfristig zurück gezogen wurde, ist nicht bekannt. Mittlerweile findet sich der Patch MS14-068 mit dem Veröffentlichungsdarum 11. November zwischen den zum Patchday freigegeben. Welches Update sich hinter dem weiterhin vorhandenen Platzhalter MS14-075 verbirgt, ist nicht bekannt.