Meldungen zu Rechner- und Netzsicherheit http://cert.uni-stuttgart.de/ 2020-09-14T12:30:02.145163Z http://cert.uni-stuttgart.de/ticker/article.php?mid=1767

Meldung Nr: RUS-CERT-1767<br><br> <FONT SIZE="+2"><B>[Phishing] Phishing-Mails im Namen des TIK</B></FONT><BR> <FONT SIZE="-1">(2020-09-14 12:30:02.145163+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1767">Druckversion</A><BR></FONT><BR> Quelle:&nbsp;<A target="_top" HREF="https://www.tik.uni-stuttgart.de/das-tik/aktuelles/#id-6e8e04d0">https://www.tik.uni-stuttgart.de/das-tik/aktuelles/#id-6e8e04d0</A><BR><BR><P><B>Aktuell werden Phishing-Mails an Mitarbeiterinnen und Mitarbeiter der Uni Stuttgart im Namen des TIK verschickt. Bitte auf keinen Fall dem Link folgen und keine Login-Daten auf der täuschend echt aussehenden Phishing-Seite eingeben!</B></P> <P><H3>Inhalt</H3> <UL> <LI><a href="#description">Beschreibung</a></LI> <LI><a href="#countermeasures">Gegenma&szlig;nahmen</a></LI> </UL> <H3><a name="description"></a>Beschreibung</H3> <P> Aktuell werden Mails, die angeblich von einer E-Mail-Adresse der Uni Stuttgart stammen an Mitarbeiterinnen und Mitarbeiter verschickt. Diese Nachrichten sehen in etwa so aus: <pre> From: Universität Stuttgart <****@****.uni-stuttgart.de> Date: 14. September 2020 at 08:47:28 CEST To: "****, ******" <****.****@***.uni-stuttgart.de> Subject: Überprüfen Sie Ihr E-Mail-Konto.... So vermeiden Sie geschlossen  sehr geehrter ****@****.uni-stuttgart.de , Damit sollen alle Mitarbeiter und Studierenden der Universität Stuttgart darüber informiert werden, dass wir aktive Konten validieren. Bitte bestätigen Sie, dass Ihr Konto noch verwendet wird, indem Sie auf den unten stehenden Validierungslink klicken: E-Mail-Konto validieren Aufrichtig, TIK-Helpdesk Technische Informations- und Kommunikationsdienste Universität Stuttgart. </pre> Klickt man auf "E-Mail-Konto validieren", landet man auf einer Phishing-Seite, die genau wie die UniMail Login-Seite aussieht: </p> <p> <img src="http://cert.uni-stuttgart.de/pics/ticker/Screenshot_phishing_2020-09-14_13-33-47.png" alt="Screenshot der Phishing-Seite" width=800> </p> <p> Trägt man dort seine Zugangsdaten ein, wird man automatisch auf die echte UniMail-Seite weitergeleitet, so dass man leicht übersehen kann, einem Phishing zum Opfer gefallen zu sein. </p> <H3><a name="countermeasures"></a>Gegenma&szlig;nahmen</H3> <p> Sollten Sie bereits dem Link aus einer solchen Phishing-Mail gefolgt sein und Ihre Login-Daten im Anmeldeformular eingegeben haben, ändern Sie bitte <b>umgehend</b> Ihr Passwort im <a href="https://siam.uni-stuttgart.de/"> SIAM Self-Service</a> des TIK. </p> <p> Das TIK informiert in einer <a href="https://www.tik.uni-stuttgart.de/das-tik/aktuelles/#id-6e8e04d0"> Betriebsmeldung</a> über die Phishing-Mails. </p> <p> Die Stabsstelle Informationssicherheit (RUS-CERT) hat bereits folgende Gegenma&szlig;nahmen unternommen: <UL> <LI> Sperrung der IPs der Phishingseite an der Border-Firewall, so dass die Seite aus dem Uni-Netz nicht mehr erreichbar ist </LI> <LI> Eintrag der Phishingseite bei Google Safebrowsing </LI> <LI> Entfernen der Seiten bei den jeweiligen Hostern beantragt </LI> </UL> Bei Fragen oder Problemen wenden Sie sich gerne telefonisch oder per E-Mail an uns. </p> (<A HREF="mailto:weidler@cert.uni-stuttgart.de">vw</A>)<P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2020-09-14T12:30:02.145163Z pu http://cert.uni-stuttgart.de/ticker/article.php?mid=1766

Meldung Nr: RUS-CERT-1766<br><br> <FONT SIZE="+2"><B> [Microsoft/Windows DNS-Server] Kritische Schwachstelle im Windows DNS-Server</B></FONT><BR> <FONT SIZE="-1">(2020-07-15 11:30:02.831798+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1766">Druckversion</A><BR></FONT><BR> Quelle:&nbsp;<A target="_top" HREF="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350">https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350</A><BR><BR><P><B>Alle Versionen des Windows DNS-Servers sind von einer kritischen Schwachstelle betroffen, die die Ausführung von beliebigem Code ermöglicht. Microsoft stellt für unterstützte Versionen Patches zur Verfügung, die umgehend installiert werden sollten.</B></P> <P><H3>Inhalt</H3> <UL> <!-- --> <LI><a href="#extract">Zusammenfassung</a></LI> <LI><a href="#description">Beschreibung</a></LI> <LI><a href="#countermeasures">Gegenma&szlig;nahmen</a></LI> <LI><a href="#workaround">Workaround</a></LI> <LI><a href="#bibliography">Weitere Information zu diesem Thema</a></LI> </UL> <h3><a name="extract"></a>Zusammenfassung</h3> <ul> <li><b>CVE-2020-1350</b>:<br> <table> <tr><td>Betroffen:</td> <td>Alle Versionen von Microsoft Windows DNS-Server</td> </tr> <tr><td>Plattform:</td> <td>Microsoft Windows Server</td> </tr> <tr><td>Einfallstor:</td> <td>Microsoft DNS-Server</td></tr> <tr><td>Angriffsvoraussetzung:</td><td>über TCP erreichbarer DNS-Server</td></tr> <tr><td>Angriffsvektorklasse:</td> <td>remote, ohne Nutzerinteraktion</td></tr> <tr><td>Auswirkung:</td> <td>Ausführung von beliebigem Code mit Rechten des lokalen System-Nutzers</td></tr> <tr><td>Typ:</td> <td>Heap-basierter Buffer Overflow</td></tr> <tr><td>Gefahrenpotential:</td> <td>sehr hoch (CVSS 10.0)</td></tr> <tr><td>Gegenma&szlig;nahmen:</td> <td><a href="#countermeasures">Patch installieren</a></td></tr> <tr><td>Workaround:</td> <td><a href="#workaround">ja</a></td></tr> <tr><td>Vulnerability ID:</td> <td><a href="https://nvd.nist.gov/vuln/detail/CVE-2020-1350">CVE-2020-1350</a></td></tr> </table> </li> </ul> <H3><a name="description"></a>Beschreibung</H3> <P> Wie gestern bekannt wurde, sind alle Versionen des Windows DNS-Servers von einer kritischen Schwachstelle betroffen, die die Ausführung von beliebigem Code ermöglicht. Dazu muss nur eine geeignete Anfrage via TCP an den DNS-Server geschickt werden. Für die Ausnutzung der Schwachstelle ist daher keine Nutzer-Interaktion notwendig. Insbesondere auf Domain-Controllern stellt diese Schwachstelle eine erhebliche Sicherheitslücke dar. </p> <P> </P> <H3><a name="countermeasures"></a>Gegenma&szlig;nahmen</H3> <UL> <LI>Microsoft stellt für alle unterstützten Versionen von Windows Server Patches zum Beheben dieser Schwachstelle bereit. Diese sollten umgehend installiert werden.</LI> <LI><a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350">Offizielles Microsoft-Advisory</a></LI> </UL> <H3><a name="workaround"></a>Workaround</H3> <UL> <LI>Falls kein Patch installiert werden kann, sollte der von Microsoft empfohlene Workaroung mit einem entsprechenden Registry-Eintrag umgesetzt werden. Achtung: Anschließend muss der DNS-Service neugestartet werden! </LI> <LI><a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350">Offizielles Microsoft-Advisory</a></LI> </UL> <H3><a name="bibliography"></a>Weitere Information zu diesem Thema</H3> <UL> <LI><a href="https://research.checkpoint.com/2020/resolving-your-way-into-domain-admin-exploiting-a-17-year-old-bug-in-windows-dns-servers/">Ausführliche Analyse der Schwachstelle von Check Point Research</a></LI> </UL> <!-- <H3><a name="exploit-status"></a>Exploit Status</H3> <UL> <LI></LI> </UL> --> <!-- <H3><a name="revisions"></a>Revisionen dieser Meldung</H3> <UL> <LI>V 1.0 ()</LI> </UL> --> (<A HREF="mailto:weidler@cert.uni-stuttgart.de">vw</A>)<P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2020-07-15T11:30:02.831798Z vw http://cert.uni-stuttgart.de/ticker/article.php?mid=1764

Meldung Nr: RUS-CERT-1764<br><br> <FONT SIZE="+2"><B>[Apple/iOS Mail] UPDATE: Schwachstelle in Apple Mail - Patch verfügbar </B></FONT><BR> <FONT SIZE="-1">(2020-05-27 21:45:58.039549+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1764">Druckversion</A><BR></FONT><BR> Quelle:&nbsp;<A target="_top" HREF="https://blog.zecops.com/vulnerabilities/youve-got-0-click-mail/">https://blog.zecops.com/vulnerabilities/youve-got-0-click-mail/</A><BR><BR><P><B>Es existieren zwei unabhängige Schwachstellen im Standard-Mailprogramm von Apple iOS, die einem entfernten Angreifer erlauben, beliebigen Programmcode auf dem Gerät auszuführen. Dabei ist aktuell unklar, ob dieser Code nur im Rahmen des Programmkontextes von MobileMail/maild oder mit Systemrechten ausgeführt werden kann. <br><b>Update:</b> Es sind nun neue Versionen der betroffenen Betriebsysteme verfügbar, die die Schwachstellen beheben und unverzüglich installiert werden sollten. </B></P> <P><H3>Inhalt</H3> <UL> <!-- --> <LI><a href="#extract">Zusammenfassung</a></LI> <LI><a href="#affected">Betroffene Systeme</a></LI> <!--<LI><a href="#not-affected">Nicht betroffene Systeme</a></LI> <LI><a href="#platform">Plattform</a></LI> <LI><a href="#attack-vector">Einfallstor</a></LI>--> <LI><a href="#requirements">Angriffsvoraussetzung</a></LI> <!--<LI><a href="#attack-vector-class">Angriffsvektorklasse</a></LI> <LI><a href="#impact">Auswirkung</a></LI> <LI><a href="#type">Typ der Verwundbarkeit</a></LI>--> <LI><a href="#risk">Gefahrenpotential</a></LI> <LI><a href="#description">Beschreibung</a></LI> <LI><a href="#workaround">Workaround</a></LI> <LI><a href="#countermeasures">Gegenma&szlig;nahmen</a></LI> <LI><a href="#vulnerability-id">Vulnerability ID</a></LI> <LI><a href="#exploit-status">Exploit Status</a></LI> <LI><a href="#bibliography">Weitere Information zu diesem Thema</a></LI> <LI><a href="#revisions">Revisionen dieser Meldung</a></LI> </UL> <h3><a name="extract"></a>Zusammenfassung</h3> <ul> <table> <tr><td>Betroffen:</td> <td>Apple-Mail (Standard-Mailprogramm auf iOS) </td> </tr> <tr><td>Plattform:</td> <td>Apple iOS Versionen 6-13</td> </tr> <tr><td>Angriffsvoraussetzung:</td><td>Versenden einer speziell präparierten Mail</td></tr> <tr><td>Angriffsvektorklasse:</td> <td>remote</td></tr> <tr><td>Auswirkung:</td> <td>Ausführung von beliebigem Programmcode</td></tr> <tr><td>Typ:</td> <td>RCE</td></tr> <tr><td>Gefahrenpotential:</td> <td>unklar</td></tr> <tr><td>Workaround:</td> <td><a href="#workaround">Nutzung eines anderen Mailclients</a></td></tr> <tr><td>Gegenma&szlig;nahmen:</td> <td><a href="#countermeasures">neue Betriebsystemversion installieren</a></td></tr> <tr><td>Vulnerability ID:</td> <td><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9818">CVE-2020-9818</a>, <a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9819">CVE-2020-9819</a></td></tr> <tr><td>Revision dieser Meldung:</td> <td>V 2.0</td></tr> </table> </ul> <!-- --> <H3><a name="affected"></a>Betroffene Systeme</H3> Standard-Mailprogramm AppleMail auf iOS in den Betriebssystemversionen iOS 6-13 </P> <H3><a name="not-affected"></a>Nicht betroffene Systeme</H3> MacOS </P> <H3><a name="requirements"></a>Angriffsvoraussetzung</H3> Für einen erfolgreichen Angriff muss eine entsprechend präparierte Mail heruntergeladen (iOS 13) oder geöffnet (iOS 12) werden. <H3><a name="risk"></a>Gefahrenpotential</H3> unklar <H3><a name="description"></a>Beschreibung</H3> <p>Es existieren zwei unabhängige Schwachstellen im Standard-Mailprogramm von Apple iOS, die einem entfernten Angreifer erlauben, beliebigen Programmcode auf dem Gerät auszuführen. Dabei ist aktuell unklar, ob dieser Code nur im Rahmen des Programmkontextes von MobileMail/maild oder dem kompletten System ausgeführt werden kann. </p><p> Der Angreifer kann dadurch auf jeden Fall E-Mails lesen, ändern und löschen. Ob hierfür eine Nutzerinteraktion nötig ist, hängt von der Version des installierten Betriebssystems ab. </p><p> Laut den Entdeckern der Sicherheitslücke wurde diese bereits aktiv ausgenutzt; Apple bestreitet die aktive Ausnutzung, jedoch nicht die Existenz der Schwachstelle. </p><p> Bisher existiert noch kein offizieller Patch. Bis zum Erscheinen des Patches empfehlen wir daher, auf iOS-Geräten einen anderen Mail-Client zu nutzen. <br> <b>UPDATE:</b> Apple stellt am 2020-05-26 neue Versionen der betroffenen Betriebssystemversionen bereit, die die Schwachstelle beheben. </p><p> </p> <H3><a name="workaround"></a>Workaround</H3> <p> Solange kein Patch existiert, empfehlen wir allen iOS-Nutzer, den Standard-Mailclient von iOS zu deaktiveren und Mails mit einem anderen Programm oder über den Webbrowser zu lesen. </p> <H3><a name="countermeasures"></a>Gegenma&szlig;nahmen</H3> Apple stellt neue Versionen der betroffenen Betriebsysteme bereit, die die Schwachstellen beheben. <UL> <LI><a href="https://support.apple.com/de-de/HT211169">iOS 12.4.7</a></LI> <LI><a href=" iOS 13.5 and iPadOS 13.5"> iOS 13.5 und iPadOS 13.5</a></LI> <LI><a href="Apple security updates">Übersichtsseite bei Apple: Apple security updates</a></LI> </UL> <H3><a name="vulnerability-id"></a>Vulnerability ID</H3> <UL> <LI><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9818">CVE-2020-9818</a></LI> <LI><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9819">CVE-2020-9819</a></LI> </UL> <H3><a name="bibliography"></a>Weitere Information zu diesem Thema</H3> <UL> <LI><a href="https://blog.zecops.com/vulnerabilities/youve-got-0-click-mail/">Beschreibung der Schwachstelle durch Zecops</a></LI> <LI><a href="https://www.zdnet.com/article/apple-disputes-recent-ios-zero-day-claim/">Apple bestreitet aktuelle Ausnutzung der Schwachstelle</a></LI> </UL> <H3><a name="exploit-status"></a>Exploit Status</H3> Unklar: Laut den Entdeckern der Schwachstelle von Zecops gibt es eine aktive Ausnutzung der Schwachstelle von professionellen Angreifern, Apple bestreitet dies jedoch. <H3><a name="revisions"></a>Revisionen dieser Meldung</H3> <UL> <LI>V 1.0 (2020-04-24)</LI> <LI>V 2.0 (2020-05-27) <UL> <LI><a href="#description">Beschreibung</a> aktualisiert</LI> <LI><a href="#countermeasures">Gegenmaßnahmen</a> aktualisiert</LI> <LI><a href="#vulnerabitity-id">CVE-Nummern</a> hinzugefügt</LI> </UL> </LI> </UL> <br> <br> (<A HREF="mailto:weidler@cert.uni-stuttgart.de">vw</A>)<P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2020-05-27T21:45:58.039549Z vw http://cert.uni-stuttgart.de/ticker/article.php?mid=1765

Meldung Nr: RUS-CERT-1765<br><br> <FONT SIZE="+2"><B>[CEO Fraud] Gefälschte E-Mails von Vorgesetzten mit Aufforderung, Geld auszugeben</B></FONT><BR> <FONT SIZE="-1">(2020-05-19 20:32:16.769119+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1765">Druckversion</A><BR></FONT><BR> <BR><P><B>Derzeit erhalten Angehörige der Uni Stuttgart E-Mail, die angeblich von einem Vorgesetzen stammt. Wenn auf sie geantwortet wird, entsteht eine kurze Konversation an deren Schluss der Empfänger aufgefordert wird, Geschenkgutscheine zu erwerben und an den Sender zu schicken. Es wird versprochen, die Auslagen zu erstatten, "wenn ich im Büro bin". Diese Konversationen erfolgen wahlweise auf Englisch oder Deutsch. <b>ACHTUNG! Es handelt sich um einen Betrugsversuch (sog. CEO Fraud). Befolgen Sie die Bitten keinesfalls sondern fragen Sie bei der betreffenden Person nach oder melden Sie den Vorgang dem RUS-CERT!</b> </B></P> <P><H3>Inhalt</H3> <UL> <!-- --> <LI><a href="#extract">Zusammenfassung</a></LI> <LI><a href="#description">Beschreibung</a></LI> <LI><a href="#example_german">Beispiel eines Korrespondenzverlaufs auf Deutsch</a></LI> <LI><a href="#example_english">Beispiel eines Korrespondenzverlaufs auf Englisch</a></LI> <LI><a href="#countermeasures">Gegenmaßnahmen</a></LI> <UL> <LI><a href="#countermeasures_report">Melden Sie Ihren Verdachtsfall der Stabsstelle Informationssicherheit (RUS-CERT)</a></LI> </UL> <LI><a href="#bibliography">Weitere Information zu diesem Thema</a></LI> </UL> <h3><a name="extract"></a>Zusammenfassung</h3> <table> <tbody> <tr><td>Einfallstor:</td> <td><a href="https://de.wikipedia.org/wiki/E-Mail">E-Mail</a></td></tr> <tr><td>Auswirkung:</td> <td>Möglicher finanzieller Verlust</td></tr> <tr><td>Typ:</td> <td><a href="https://de.wikipedia.org/wiki/CEO_Fraud">CEO Fraud</a></td></tr> <tr><td>Was tun?</td> <td><a href="#countermeasures_report">Meldung an das RUS-CERT</a></td></tr> </tbody> </table> <h3><a name="description">Beschreibung</a></h3> <p> Zur Zeit werden E-Mails von Betrügern an Angehörige der Universität Stuttgart verschickt, die den Anschein erwecken sollen, dass sie von einem Vorgesetzten stammen. Die Mailings sind gut recherchiert und vorbereitet, so dass korrekte Namen und Positionen der Vorgesetzten vorgetäuscht werden: etwa dem zur angegriffenen Person passenden Abteilungsleiter oder die Professorin ihres Instituts. </p> <p> Die Konversationen verlaufen offenbar immer nach demselben Schema mit vorgefertigten Textbausteinen und beginnen auf Deutsch. Wenn von der angegriffenen Person auf Englisch geantwortet wird, wird auf Englisch umgeschaltet, wobei die englischen Texte offenbar als Vorlage für die deutschen Texte gedient haben. Das Deutsch liest sich ein Wenig holperig (siehe die Beispiele weiter unten). </p> <p> Zunächst wird behauptet, dass die vorgeblich vorgesetzte Person in einer Sitzung unbekannter Länge säße und sich daher ein Telefonat verböte. Dann wird darum gebeten, ganz diekret eine dringende Aufgabe für den Vorgesetzten zu erledigen, die dieser nicht selbst erledigen kann, weil er/sie in der Sitzung sitze. Der Angegriffene soll Geschenkgutscheine kaufen und per Mail an den Angreifer schicken, der sie "dringend" und unverzüglich an einen Kollegen weiterschicken muss. Es wird versprochen, die Auslagen zu erstatten "wenn ich im Büro bin". </p> <p> Geschenkgutscheine sind bares Geld wert und stellen daher einen realen Gegenwert dar. </p> <p> <b>Bei dieser Masche handelt es sich um einen Betrugsversuch, bei dem der Angegriffene um reales Geld gebracht werden soll.</b> Falls die angegriffene Person tatsächlich Geschenkgutscheine kauft und deren Codes an den Angreifer weiterschickt, ist ihr Geld verloren, denn natürlich weiß der reale Vorgesetzte nichts von dieser Aktion und wird dem Mitarbeiter nicht seine Auslagen erstatten. <h3><a name="example_german">Beispiel eines Korrespondenzverlaufs auf Deutsch</a></h3> Hier wird unter Verwendung fiktiver Namen aber real in Angriffen verwendeter Texte ein Beispiel angegeben, wie diese Konversation auf Deutsch abläuft: <ul> <li>Mitarbeiter: Hans Mustermann, Institut für Weinbau</li> <li>Vorgesetzter: Professor Heinz Schenk, Institut für Weinbau, Dekan der Fakultät für Agrarwissenschaften</li> </ul> <ol> <li>Kontaktaufnahme: <pre> Von: Heinz Schenk &lt;mailto:heinz.schenk.iweb.uni-stut@my.com&gt; Gesendet: Wednesday, 20 May 2020 11:20 AM An: hans.mustermann@iweb.uni-stuttgart.de &lt;mailto:hans.mustermann@iweb.uni-stuttgart.de&gt; Betreff: DRINGEND Hallo Hans! Bist du verfügbar ? Heinz Schenk Professor und Dekan Fakultät für Agrarwissenschaften Zimmer 13.302 Pfaffenwaldring 55 Universität Stuttgart 70569 Stuttgart Deutschland </pre> Man beachte dabei, dass die persönlichen Daten von Prof. Schenk alle einschließlich der Büroadresse stimmen. Diese Person existiert wirklich, ist Professor und Dekan und Hans ist auch tatsächlich Mitarbeiter an seinem Institut. Diese Daten sind leicht aus den Instituts- oder Fakultätswebseiten ermittelbar, was in diesem Fall zur Vorbereitung auch gemacht wurde. <p> Hier kann man sehen, dass diese Nachricht von einer Adresse kommt, die nicht zur Uni gehört. Dies ist ersichtlich am Adressteil nach dem @-Zeichen, hier <code>@my.com</code>. </p> </li> <li> Herr Mustermann antwortet, was er schreibt ist dabei offenbar nicht wirklich von Belang, es ist offenbar lediglich wichtig, ob er auf Deutsch oder Englisch antwortet. <pre> Von "Hans Mustermann"&lt;mailto:hans.mustermann@iweb.uni-stuttgart.de&gt; Gesendet: Wednesday, 20 May 2020 11:30 AM An: Heinz Schenk &lt;mailto:heinz.schenk.iweb.uni-stut@my.com&gt; Betreff: AW: DRINGEND Hallo Herr Prof. Schenk, ja, ich bin erreichbar, was kann ich für Sie tun? Mit freundlichen Grüßen -- Hans Mustermann Wissenschaftlicher Mitarbeiter Institut für Weinbau Universität Stuttgart </pre> </li> <li> Die zweite Mail des falschen Herrn Schenk ist offenbar ebenfalls ein Standardtext. <pre> Von: Heinz Schenk &lt;mailto:heinz.schenk.iweb.uni-stut@my.com&gt; Gesendet: Wednesday, 20 May 2020 11:20 AM An: hans.mustermann@iweb.uni-stuttgart.de &lt;mailto:hans.mustermann@iweb.uni-stuttgart.de&gt; Betreff: Re: AW: DRINGEND Sie müssen eine Aufgabe für mich diskret erledigen. Ich bin jetzt in einer Besprechung. Anrufe sind verboten, daher kann ich Sie nur per E-Mail kontaktieren. Ich habe keine Ahnung, wann wir die Dinge hier erledigen werden. Ich brauche jedoch wirklich Ihre Hilfe bei etwas, das meine dringende Aufmerksamkeit erfordert. Heinz Schenk Professor und Dekan Fakultät für Agrarwissenschaften Zimmer 13.302 Pfaffenwaldring 55 Universität Stuttgart 70569 Stuttgart Deutschland </pre> </li> <li> Ob nun geantwortet wird oder nicht, ist offenbar egal. Es folgt eine weitere Nachricht, die den eigentlichen Betrugsversuch enthält: <pre> Von: Heinz Schenk &lt;mailto:heinz.schenk.iweb.uni-stut@my.com&gt; Gesendet: Wednesday, 20 May 2020 11:25 AM An: hans.mustermann@iweb.uni-stuttgart.de &lt;mailto:hans.mustermann@iweb.uni-stuttgart.de&gt; Betreff: Re: AW: DRINGEND Sie müssem mir helfen. Geschenkkarten aus jedem Geschäft zu bekommen. Ich werde Sie erstatten, wenn ich im Büro bin. Ich muss es an einen Kollegen senden und es ist sehr wichtig, weil ich noch bei der Besprechung bin und es so schnell wie möglich erhalten muss. Kannst du das bitte für mich tun? Heinz Schenk Professor und Dekan Fakultät für Agrarwissenschaften Zimmer 13.302 Pfaffenwaldring 55 Universität Stuttgart 70569 Stuttgart Deutschland </pre> </li> <li> Wenn nun Herr Mustermann Gutscheine im Internet kauft (etwa bei Amazon) und die Einlösecodes an den vermeintlichen Chef schickt, ist er sein Geld los. </li> </ol> <h3><a name="example_english">Beispiel eines Korrespondenzverlaufs auf Englisch</a></h3> Hier ein Beispiel mit neuen fiktiven Personen, wie die Korrespondez auf Englisch abläuft. Man erkennt, dass die hier verwendeten Texte offenbar die Vorlage für die relativ gute, im Detail jedoch holperigen deutschen Texte ist. Bemerkenswert ist, dass die Kontaktaufnahme auf Deutsch beginnt. <ul> <li>Mitarbeiter: Oliver Hardy, Institut für Schwarz-Weiß-Film</li> <li>Vorgesetzte: Professorin Martina Hill, Institut für Schwarz-Weiß-Film, Prodekanin der Fakultät für Filmwissenschaften</li> </ul> Auch hier sind die persönlichen Daten der Vorgesetzten wohl recherchiert und stimmen bis auf Details im Vokabular. <ol> <li>Kontaktaufnahme (in Deutsch): <pre> Von: Martina Hill &lt;mailto:martina.hill.iswf.uni-stut@my.com&gt; Gesendet: Wednesday, 20 May 2020 10:12 AM An: oliver.hardy@iswf.uni-stuttgart.de &lt;mailto:oliver.hardy@iswf.uni-stuttgart.de&gt; Betreff: DRINGEND Hallo Oliver! Bist du verfügbar ? Martina Hill Professor und Vizedekan Fakultät für Filmwissenschaften Zimmer 17.08 Keplerstraße 11 Universität Stuttgart 70174 Stuttgart Deutschland </pre> </li> <li> Herr Hardy antwortet auf Englisch, was dazu führt, dass die falsche Frau Hill auf Englisch umschaltet. Der Inhalt Herrn Hardys Nachricht scheint wieder eher unwichtig zu sein. <pre> Von "Oliver Hardy"&lt;mailto:oliver.hardy@iswf.uni-stuttgart.de&gt; Gesendet: Wednesday, 20 May 2020 10:22 AM An: Martina Hill &lt;mailto:martina.hill.iswf.uni-stut@my.com&gt; Betreff: AW: DRINGEND Hello Prof. Hill, I apologize as I was in the cutting room, working on our newest project. Now I am available, how may I help? Best regards -- Oliver Hardy Institut fuer Schwarz-Weiss-Film Universitaet Stuttgart </pre> </li> <li> Die zweite Mail der angeblichen Frau Hill ist offenbar nun ein Standardtext in Englisch. <pre> Von: Martina Hill &lt;mailto:martina.hill.iswf.uni-stut@my.com&gt; Gesendet: Wednesday, 20 May 2020 10:23 AM An: oliver.hardy@iswf.uni-stuttgart.de &lt;mailto:oliver.hardy@iswf.uni-stuttgart.de&gt; Betreff: Re: AW: DRINGEND Okay, I need you to complete a task for me discreetly. I am in a meeting now. Calls are prohibited, hence, I can only contact you via mail, I have no idea when we will finish things here, however, I really need your help with something that requires my urgent attention remotely. Martina Hill Professor und Vizedekan Fakultät für Filmwissenschaften Zimmer 17.08 Keplerstraße 11 Universität Stuttgart 70174 Stuttgart Deutschland </pre> </li> <li> Hier wird geantwortet. <pre> Von "Oliver Hardy"&lt;mailto:oliver.hardy@iswf.uni-stuttgart.de&gt; Gesendet: Wednesday, 20 May 2020 10:23 AM An: Martina Hill &lt;mailto:martina.hill.iswf.uni-stut@my.com&gt; Betreff: AW: Re: AW: DRINGEND Ok, I will try my very best. Best regards Ollie -- Oliver Hardy Institut fuer Schwarz-Weiss-Film Universitaet Stuttgart </pre> </li> <li> Dies ruft aber nur die im Inhalt selbe Antwort wie oben hervor, nun aber auf Englisch. Auch diese Nachricht enthält den eigentlichen Betrugsversuch. <pre> Von: Martina Hill &lt;mailto:martina.hill.iswf.uni-stut@my.com&gt; Gesendet: Wednesday, 20 May 2020 10:23 AM An: oliver.hardy@iswf.uni-stuttgart.de &lt;mailto:oliver.hardy@iswf.uni-stuttgart.de&gt; Betreff: Re: AW: Re: AW: DRINGEND I need you to help me get gift cards from any store, i will reimburse you when i get to the office. I need to send it to a colleague and it is very important cause i'm still at the meeting and i need to get it sent Asap. Can you do that for me please ? Martina Hill Professor und Vizedekan Fakultät für Filmwissenschaften Zimmer 17.08 Keplerstraße 11 Universität Stuttgart 70174 Stuttgart Deutschland </pre> </li> </ol> Diese Texte der Angreifer kamen in dieser oder nur leicht abgewandelter Form in allen bisher an uns gemeldeten Vorfällen vor. <h3><a name="countermeasures">Gegenmaßnahmen</a></h3> Technisch gibt es so gut wie keine Gegenmaßnahmen gegen diese Art von Angriffen. Es gibt nur organisatorische Maßnahmen und die gute Informiertheit der Benutzer, die sie in die Lage versetzt, solche Angriffe rasch zu erkennen und abzuwehren. Da der Angriff nicht auf IT-Technik und ihren Schwachstellen sondern ausschließlich auf Verfahren des <a href="https://de.wikipedia.org/wiki/Social_Engineering_(Sicherheit)">Social Engineering</a> beruht, reicht das Erkennen der Absicht und Ignorieren der Nachrichten dafür aus. Dafür sollten folgende Regeln befolgt werden: <ul> <li><b>Seien Sie als Empfänger solcher Nachrichten wachsam!</b> Sobald Sie auch nur den kleinsten Verdacht an der Plausibilität haben, werden Sie misstrauisch! Zweifeln sie lieber einmal zu oft als zu selten solche ungewöhnlichen Anliegen an.</li> <li>Ein Punkt, der in vorliegendem Fall sofort stutzig machen sollte, ist die <b>Absenderadresse, die nicht zur Uni Stuttgart gehört</b>. Die Mail kommt aus der Domain <code>my.com</code>, ersichtlich an dem Adressteil nach dem @-Zeichen, hier <code>@my.com</code>. Hier würde man erwarten, dass die Adresse den Domain-Teil <code>@uni-stuttgart.de</code> haben würde. Jedoch ist eine in diesem Sinne unverdächtige Absenderadresse kein starkes Kriterium für die Echtheit einer Mail, da solche Adressen leicht gefälscht werden können. Näheres zu E-Mail-Adressen und der Analyse von E-Mail-Headers finden sie auf unserer Seite <a href="https://cert.uni-stuttgart.de/themen/header.html">E-Mail-Header richtig lesen</a>. <li>Sobald es um <b>Geld</b> geht, insbesondere Ihr <b>Privatgeld</b>, sollten bei Ihnen alle Alarmglocken</b> läuten. Verifizeren Sie auf anderen Wegen, ob es sich um eine legitime Angelegenheit handelt. Insbesondere größere Beträge müssen Sie dazu bewegen, die Sache zu stoppen. Dasselbe gilt für <b>Information, die geheim ist</b>, insbesondere Zugangsdaten zu Systemen und Prozessen. Diese sollten niemals per E-Mail weitergegeben werden.</li> <li><b>Fragen Sie die Person</b>, mit der Sie gerade (angeblich) kommunizieren <b>über einen anderen Kanal</b>, z.B. Telefon (auch wenn das gerade angeblich "verboten" ist). Ziehen Sie Kollegen zu Rate. Wenn es ein legitimes Anliegen ist, wird Ihr Kommunikationspartner nichts gegen eine Verifikation haben. </li> <li><b>Als Vorgesetzter:</b> Sorgen Sie in Ihrem Zuständigkeitsbereich für eine <b>Atmosphäre</b>, in der sich <b>Mitarbeiter trauen</b> dürfen, bei Anweisungen oder Bitten von Ihnen <b>nachzufragen</b>. Nichts spielt CEO Fraud mehr in die Hände als eine Arbeitsatmosphäre, die verhindert, dass Mitarbeiter Ihre Anweisungen verifizieren, wenn Sie Zweifel an deren Plausibilität haben.</li> <li><a name="countermeasures_report"><a href="mailto:cert@cert.uni-stuttgart.de">Melden Sie Ihren Verdachtsfall der Stabsstelle Informationssicherheit (RUS-CERT)</a>. Melden Sie lieber einmal zu oft, als einmal zu wenig. <b>Schicken Sie dabei alle Mails, die Sie zu einem Fall erhalten haben mit und stellen Sie sicher, dass sie dabei alle <a href="https://cert.uni-stuttgart.de/themen/header.html#headeranzeigen"> Headers</a> dieser Nachrichten mitschicken</b>. Nur so sind wir in der Lage, die Herkunft einer Nachricht zu ermitteln und ggf. den Betreiber des sendenden Mailservers über die Aktivitäten zu informieren.</li> </ul> <h3><a name="bibliography">Weitere Information zu diesem Thema</a></h3> <ul> <li>Wikipedia: <a href="https://de.wikipedia.org/wiki/CEO_Fraud">CEO Fraud</a></li> <li>Wikipedia: <a href="https://de.wikipedia.org/wiki/Social_Engineering_(Sicherheit)">Social Engineering</a></li> <li>RUS-CERT: <a href="https://cert.uni-stuttgart.de/themen/header.html#headeranzeigen">Wie komme ich an die Header einer Nachricht?</a></li> <li>RUS-CERT: <a href="https://cert.uni-stuttgart.de/themen/header.html">E-Mail-Header richtig lesen</a></li> <li>RUS-CERT: <a href="https://cert.uni-stuttgart.de/themen/spam/index.html">SPAM und die Folgen</a></li> <li>RUS-CERT: <a href="https://cert.uni-stuttgart.de/themen/viren.html">Viren, Würmer, trojanische Pferde</a></li> </ul> (<A HREF="mailto:Goebel@CERT.Uni-Stuttgart.DE">og</A>)<P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2020-05-19T20:32:16.769119Z og http://cert.uni-stuttgart.de/ticker/article.php?mid=1763

Meldung Nr: RUS-CERT-1763<br><br> <FONT SIZE="+2"><B>[Microsoft/Windows] Schwachstelle in Microsoft Windows Server Message Block (SMB)</B></FONT><BR> <FONT SIZE="-1">(2020-03-13 17:12:44.592525+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1763">Druckversion</A><BR></FONT><BR> Quelle:&nbsp;<A target="_top" HREF="https://support.microsoft.com/de-de/help/4551762/windows-10-update-kb4551762">https://support.microsoft.com/de-de/help/4551762/windows-10-update-kb4551762</A><BR><BR><P><B>Eine Schwachstelle in den Routinen für den Server Message Block 3.1.1 (SMBv3) der aktuellen Microsoft Windows-10-Versionen kann von einen Angreifer durch das Senden eines entsprechend formulierten SMB-Paketes an ein verwundbares System dazu ausgenutzt werden, das System zu kompromittieren. Microsoft stellt Patches zur Behebung dieser Schwachstelle bereit, die umgehend installiert werden sollten.</B></P> <P><H3>Inhalt</H3> <UL> <!-- --> <LI><a href="#extract">Zusammenfassung</a></LI> <LI><a href="#affected">Betroffene Systeme</a></LI> <!--<LI><a href="#not-affected">Nicht betroffene Systeme</a></LI> <LI><a href="#platform">Plattform</a></LI> <LI><a href="#attack-vector">Einfallstor</a></LI>--> <LI><a href="#requirements">Angriffsvoraussetzung</a></LI> <!--<LI><a href="#attack-vector-class">Angriffsvektorklasse</a></LI> <LI><a href="#impact">Auswirkung</a></LI> <LI><a href="#type">Typ der Verwundbarkeit</a></LI>--> <LI><a href="#risk">Gefahrenpotential</a></LI> <LI><a href="#description">Beschreibung</a></LI> <LI><a href="#workaround">Workaround</a></LI> <LI><a href="#countermeasures">Gegenma&szlig;nahmen</a></LI> <LI><a href="#vulnerability-id">Vulnerability ID</a></LI> <LI><a href="#exploit-status">Exploit Status</a></LI> <LI><a href="#bibliography">Weitere Information zu diesem Thema</a></LI> <!--<LI><a href="#revisions">Revisionen dieser Meldung</a></LI>--> </UL> <h3><a name="extract"></a>Zusammenfassung</h3> <ul> <li><b>CVE-2020-0796</b>:<br> <table> <tr><td>Betroffen:</td> <td>SMBv3 auf Windows 10 SAC (Semi-Annual Channel) der Versionen 1903 und 1909 (32/64bit und ARM64), Windows Server SAC der Versionen 1903 und 1909 </td> </tr> <!--<tr><td>Nicht betroffen:</td> <td>Windows 10 LTSC (Long Term Servicing Channel) Versionen 2016 und 2019, Windows Server LTSC Versionen 2016 und 2019 </td> </tr>--> <tr><td>Plattform:</td> <td><a href="https://de.wikipedia.org/wiki/Microsoft_Windows_10">Microsoft Windows 10</a></td> </tr> <tr><td>Einfallstor:</td> <td><a href="https://de.wikipedia.org/wiki/Server_Message_Block">SMB</a>, Port 445/tcp</td></tr> <tr><td>Angriffsvoraussetzung:</td><td>Zugriff auf ein Netzwerk,über das SMB-Pakete an einen verwundbaren Server geschickt werden können, bzw. über das verwundbare Clients SMB-Pakete erhalten können (network)</td></tr> <tr><td>Angriffsvektorklasse:</td> <td>remote</td></tr> <tr><td>Auswirkung:</td> <td>Kompromittierung des beherbergenden Systems (system compromise)</td></tr> <tr><td>Typ:</td> <td>unbekannt</td></tr> <tr><td>Gefahrenpotential:</td> <td>sehr hoch</td></tr> <tr><td>Workaround:</td> <td><a href="#workaround">teilweise</a></td></tr> <tr><td>Gegenma&szlig;nahmen:</td> <td><a href="#countermeasures">Installation eines Patches</a></td></tr> <tr><td>Vulnerability ID:</td> <td><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-0796">CVE-2020-0796</a></td></tr> </table> </li> </ul> <!-- --> <H3><a name="affected"></a>Betroffene Systeme</H3> Server Message Block 3.1.1 (SMBv3) auf den folgenden Betriebssystemen: <UL> <LI>Windows 10 Version 1903 für 32-bit Systeme </LI> <LI>Windows 10 Version 1903 für ARM64-basierte Systeme</LI> <LI>Windows 10 Version 1903 für x64-basierte Systeme </LI> <LI>Windows 10 Version 1909 für 32-bit Systeme </LI> <LI>Windows 10 Version 1909 für ARM64-basierte Systeme</LI> <LI>Windows 10 Version 1909 für x64-basierte Systeme </LI> <LI>Windows Server, version 1903 (Server Core Installation)</LI> <LI>Windows Server, version 1909 (Server Core Installation)</LI> </UL> Es ist jeweils der SMB-Server als auch der SMB-Client verwundbar! </P> <!-- <H3><a name="not-affected"></a>Nicht betroffene Systeme</H3> <UL> <LI></LI> </UL> </P> <H3><a name="platform"></a>Plattform</H3> <UL> <LI> <a href="https://de.wikipedia.org/wiki/"></a> </LI> </UL> </P> <H3><a name="attack-vector"></a>Einfallstor</H3> <UL> <LI> <a href="https://de.wikipedia.org/wiki/"></a> </LI> </UL> </P> --> <H3><a name="requirements"></a>Angriffsvoraussetzung</H3> <UL> <LI> Für einen Angriff auf einen verwundbaren Server ist es erforderlich, dass der Angreifer ein entsprechend formuliertes SMB-Paket an den Server schicken kann. <br> (<em>network</em>) </LI> <LI> Für einen Angriff auf einen SMB-Client ist Benutzerinteraktion erforderlich: der Angreifer muss einen Benutzer dazu bringen auf einen entsprechend präparierten SMB-Server zuzugreifen (<em>user interaction</em>) </LI> </UL> <!-- <H3><a name="attack-vector-class"></a>Angriffsvektorklasse</H3> <UL> <LI> <br> (<em></em>) </LI> </UL> <H3><a name="impact"></a>Auswirkung</H3> <UL> <LI> <br> (<em></em>) </LI> </UL> <H3><a name="type"></a>Typ der Verwundbarkeit</H3> <UL> <LI> <br> (<em></em>) </LI> </UL> --> <H3><a name="risk"></a>Gefahrenpotential</H3> <UL> <LI> <em>sehr hoch</em> </LI> </UL> <BR><FONT SIZE=-1>(Hinweise zur <A HREF="http://cert.uni-stuttgart.de/ticker/charta.php#Gefaehrdungsstufen">Einstufung</A> des Gefahrenpotentials.)</FONT></P> <H3><a name="description"></a>Beschreibung</H3> <P><a href="https://de.wikipedia.org/wiki/Server_Message_Block">Server Message Block</a> ist das Netzwerkprotokoll, das Microsoft-Betriebssysteme verwenden, um Netzlaufwerke, Drucker und weitere Netzwerkdienste anzusprechen. Es ist damit eines der essentiellen Protokolle für das <a href="https://de.wikipedia.org/wiki/Active_Directory">Active Directory</a>. </p> <P> Eine Schwachstelle in der Implementierung des SMB-Protokolls der Version 3.1.1 in den aktuellen Microsoft-Windows-10-Betriebssystemvarianten, erlaubt es einem Angreifer, durch das Senden eines entsprechend formulierten SMB-Pakeses beliebigen Programmcode auf einem verwundbaren Server auszuführen. Um einen verwundbaren SMB-Client zu kompromittieren, muss der Angreifer einen Benutzer des beherbergenden Systems dazu bringen, auf einen entsprechend präparierten Server per SMB zuzugreifen, etwa ein von diesem angebotenes Netzlaufwerk einzubinden oder einen Drucker zu installieren. </P> <p> Die <a href="https://cert.uni-stuttgart.de/filter/index.html">Perimeterfirewall der Universität Stuttgart</a> schützt Systeme innerhalb der Netze der Uni vor direkten SMB-Zugriffsversuchen von außerhalb der Uni-Netze, da sie SMB-Verkehr über die Uni-Netzgrenzen hinweg blockiert. Sie kann jedoch nicht vor Zugriffen von innerhalb der Uni-Netze schützen. Infizierte Systeme innerhalb der Uni-Netze könnten diese Schwachstelle ausnutzen, sofern sie entsprechenden Exploit-Code verwenden. Aktuelle Malware, wie etwa <a href="https://cert.uni-stuttgart.de/ticker/article.php?mid=1757">Emotet</a> oder andere <a href="https://cert.uni-stuttgart.de/themen/bots.html">Bots</a> könnten solchen Code nachladen und verwundbare Systeme innerhalb der Uni-Netze angreifen. Aus diesem Grund wird die <b>unverzügliche Installation der bereitgestellten Patches</a> dringend empfohlen!</b> </p> <H3><a name="workaround"></a>Workaround</H3> <p> Um zu verhindern, dass unauthentifizierte Angreifer die Schwachstelle ausnutzen können, kann man die SMBv3-Kompression abgeschaltet werden. Dies kann durch folgende Power-Shell-Kommandosequenz erfolgen: <pre> Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force </pre> <b>Achtung!</b> Diese Maßnahme kann nicht verhindern, dass infizierte Systeme innerhalb der Uni-Netze die für sie vorgesehenen Server erfolgreich angreifen! Sie kann außerdem verwundbare SMB-Clients nicht schützen. Innerhalb der Netze der Universität Stuttgart ist sie daher nur von begrenztem Nutzen. </p> <p> Die Kompression kann nach Installation der bereitgestellten <a href="#countermeasures">Patches</a> mit folgender Power-Shell-Kommandosequenz wieder abgeschaltet werden: <pre> Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 0 -Force </pre> </p> <!-- --> <H3><a name="countermeasures"></a>Gegenma&szlig;nahmen</H3> Installation bereitgestellter Updates: <UL> <LI><a href="https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762">Update für Windows 10 Version 1903 für 32-bit Systeme</a> </LI> <LI><a href="https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762">Update für Windows 10 Version 1903 für ARM64-basierte Systeme</a></LI> <LI><a href="https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762">Update für Windows 10 Version 1903 für x64-basierte Systeme</a> </LI> <LI><a href="https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762">Update für Windows 10 Version 1909 für 32-bit Systeme</a> </LI> <LI><a href="https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762">Update für Windows 10 Version 1909 für ARM64-basierte Systeme</a></LI> <LI><a href="https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762">Update für Windows 10 Version 1909 für x64-basierte Systeme</a> </LI> <LI><a href="https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762">Update für Windows Server, version 1903 (Server Core Installation)</a></LI> <LI><a href="https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762">Update für Windows Server, version 1909 (Server Core Installation)</a></LI> </UL> <H3><a name="vulnerability-id"></a>Vulnerability ID</H3> <UL> <LI><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-0796">CVE-2020-0796</a></LI> </UL> <H3><a name="bibliography"></a>Weitere Information zu diesem Thema</H3> <UL> <LI><a href="https://support.microsoft.com/help/4551762">Microsoft Article 455176: March 12, 2020—KB4551762 (OS Builds 18362.720 and 18363.720)</a></LI> </UL> <H3><a name="exploit-status"></a>Exploit Status</H3> <UL> <LI>Bislang ist lediglich die prizipielle Ausutzbarkeit der Schwachstelle, jedoch kein in Malware einsetzbarer Code zur Ausnutzung bekannt.<br> (proof of concept)</LI> </UL> <!-- --> <!-- <H3><a name="revisions"></a>Revisionen dieser Meldung</H3> <UL> <LI>V 1.0 ()</LI> </UL> --> (<A HREF="mailto:Goebel@CERT.Uni-Stuttgart.DE">og</A>)<P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2020-03-13T17:12:44.592525Z og http://cert.uni-stuttgart.de/ticker/article.php?mid=1762

Meldung Nr: RUS-CERT-1762<br><br> <FONT SIZE="+2"><B>[Microsoft/IE] Kritische Schwachstelle im Internet Explorer</B></FONT><BR> <FONT SIZE="-1">(2020-01-20 16:58:00.462042+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1762">Druckversion</A><BR></FONT><BR> Quelle:&nbsp;<A target="_top" HREF="https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV200001">https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV200001</A><BR><BR><P><B>Eine z.T. als kritisch eingestufte Schwachstelle in den Routinen zur Verarbeitung aktiver Inhalte des Internet Exporers kann von einem Angreifer dazu ausgenutzt werden, beliebigen JavaScript-Code im Benutzerkontext des browsenden Benutzers auszuführen. Sofern der Benutzer administrative Privilegien besitzt, kann dies zur unmittelbaren Kompromittierung des beherbergenden Systems führen. Es ist bislang kein Patch verfügbar, der das Problem behebt. Aus diesem Grund wird Benutzern, insbesondere Benutzern mit administrativen Privilegien dringend von der Nutzung des Internet Explorers abgeraten.</B></P> <P><H3>Inhalt</H3> <UL> <!-- --> <LI><a href="#extract">Zusammenfassung</a></LI> <LI><a href="#affected">Betroffene Systeme</a></LI> <!--<LI><a href="#not-affected">Nicht betroffene Systeme</a></LI>--> <LI><a href="#platform">Plattform</a></LI> <!--<LI><a href="#attack-vector">Einfallstor</a></LI> <LI><a href="#requirements">Angriffsvoraussetzung</a></LI> <LI><a href="#attack-vector-class">Angriffsvektorklasse</a></LI> <LI><a href="#impact">Auswirkung</a></LI> <LI><a href="#type">Typ der Verwundbarkeit</a></LI> <LI><a href="#risk">Gefahrenpotential</a></LI> <LI><a href="#description">Beschreibung</a></LI>--> <LI><a href="#workaround">Workaround</a></LI> <LI><a href="#countermeasures">Gegenma&szlig;nahmen</a></LI> <LI><a href="#vulnerability-id">Vulnerability ID</a></LI> <!--<LI><a href="#exploit-status">Exploit Status</a></LI> <LI><a href="#bibliography">Weitere Information zu diesem Thema</a></LI>--> <!--<LI><a href="#revisions">Revisionen dieser Meldung</a></LI>--> </UL> <h3><a name="extract"></a>Zusammenfassung</h3> <ul> <li><b>CVE-2020-0674</b>:<br> <table> <tr><td>Betroffen:</td> <td>Internet Explorer 9, 10, 11</td> </tr> <!--<tr><td>Nicht betroffen:</td> <td></td> </tr>--> <tr><td>Plattform:</td> <td><a href="https://de.wikipedia.org/wiki/Microsoft_Windows">Microsoft Windows</a>: Server 2012, 10, Server 2016, 7, 8.1, RT 8.1, Server 2008, Server 2012</td> </tr> <tr><td>Einfallstor:</td> <td><a href="https://de.wikipedia.org/wiki/Javascript">JavaScript</a></td></tr> <tr><td>Angriffsvoraussetzung:</td><td>Benutzerinteraktion: Betrachten einer entsprechenden Seite im IE</td></tr> <tr><td>Angriffsvektorklasse:</td> <td>remote</td></tr> <tr><td>Auswirkung:</td> <td>Benutzer- bzw. Systemkomopromittierung</td></tr> <tr><td>Typ:</td> <td>Speicherverletzung</td></tr> <tr><td>Gefahrenpotential:</td> <td>hoch bis sehr hoch</td></tr> <tr><td>Workaround:</td> <td><a href="#workaround">ja</a></td></tr> <tr><td>Gegenma&szlig;nahmen:</td> <td><a href="#countermeasures">bislang nicht</a></td></tr> <tr><td>Vulnerability ID:</td> <td><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-0674">CVE-2020-0674</a></td></tr> </table> </li> </ul> <!-- --> <H3><a name="affected"></a>Betroffene Systeme</H3> <UL> <LI><a href="https://de.wikipedia.org/wiki/Internet_Explorer#Version_9">Internet Explorer 9</a></LI> <LI><a href="https://de.wikipedia.org/wiki/Internet_Explorer#Version_10">Internet Explorer 10</a></LI> <LI><a href="https://de.wikipedia.org/wiki/Internet_Explorer#Version_11">Internet Explorer 11</a></LI> </UL> </P> <!-- <H3><a name="not-affected"></a>Nicht betroffene Systeme</H3> <UL> <LI></LI> <LI>Systeme, die mit entsprechenden Vendor-Patches zur Behebung der Schwachstelle versehen sind, die aber i.d.R. nicht die Versionsnummer &auml;ndern. </UL> </P> --> <H3><a name="platform"></a>Plattform</H3> <UL> <LI>Windows 10 Version 1803 für 32-bit Systeme</LI> <LI>Windows 10 Version 1803 für x64-basierte Systeme</LI> <LI>Windows 10 Version 1803 für ARM64-basierte Systeme</LI> <LI>Windows 10 Version 1809 für 32-bit Systeme</LI> <LI>Windows 10 Version 1809 für x64-basierte Systeme</LI> <LI>Windows 10 Version 1809 für ARM64-basierte Systeme</LI> <LI>Windows 10 Version 1909 für 32-bit Systeme</LI> <LI>Windows 10 Version 1909 für x64-basierte Systeme</LI> <LI>Windows 10 Version 1909 für ARM64-basierte Systeme</LI> <LI>Windows 10 Version 1709 für 32-bit Systeme</LI> <LI>Windows 10 Version 1709 für x64-basierte Systeme</LI> <LI>Windows 10 Version 1709 für ARM64-basierte Systeme</LI> <LI>Windows 10 Version 1903 für 32-bit Systeme</LI> <LI>Windows 10 Version 1903 für x64-basierte Systeme</LI> <LI>Windows 10 Version 1903 für ARM64-basierte Systeme</LI> <LI>Windows 10 für 32-bit Systeme</LI> <LI>Windows 10 für x64-basierte Systeme</LI> <LI>Windows 10 Version 1607 für 32-bit Systeme </LI> <LI>Windows 10 Version 1607 für x64-basierte Systeme</LI> <LI>Windows 8.1 für 32-bit systems</LI> <LI>Windows 8.1 für x64-basierte systems</LI> <LI>Windows RT 8.1</LI> <LI>Windows 7 für 32-bit Systeme Service Pack 1</LI> <LI>Windows 7 für x64-basierte Systeme Service Pack 1</LI> <LI>Windows Server 2019</LI> <LI>Windows Server 2016</LI> <LI>Windows Server 2012</LI> <LI>Windows Server 2012 R2</LI> <LI>Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1</LI> <LI>Windows Server 2008 für 32-bit Systeme Service Pack 2</LI> <LI>Windows Server 2008 für x64-basierte Systeme Service Pack 2 </LI> </UL> </P> <!-- <H3><a name="attack-vector"></a>Einfallstor</H3> <UL> <LI> <a href="https://de.wikipedia.org/wiki/"></a> </LI> </UL> </P> <H3><a name="requirements"></a>Angriffsvoraussetzung</H3> <UL> <LI> <br> (<em></em>) </LI> <LI> Benutzerinteraktion - Ein Benutzer eines betroffenen Systems muss eine entsprechende (Endung: <code></code>) &ouml;ffnen Diese kann ihm z.B. &uuml;ber eine Webseite oder eine E-Mail-Nachricht zugeleitet werden. <br> (<em>user interaction</em>) </LI> </UL> <H3><a name="attack-vector-class"></a>Angriffsvektorklasse</H3> <UL> <LI> <br> (<em></em>) </LI> </UL> <H3><a name="impact"></a>Auswirkung</H3> <UL> <LI> <br> (<em></em>) </LI> </UL> <H3><a name="type"></a>Typ der Verwundbarkeit</H3> <UL> <LI> <br> (<em></em>) </LI> </UL> <H3><a name="risk"></a>Gefahrenpotential</H3> <UL> <LI> <em></em> </LI> </UL> <BR><FONT SIZE=-1>(Hinweise zur <A HREF="http://cert.uni-stuttgart.de/ticker/charta.php#Gefaehrdungsstufen">Einstufung</A> des Gefahrenpotentials.)</FONT></P> <H3><a name="description"></a>Beschreibung</H3> <P> Eine Puffer&uuml;berlaufschwachstelle in <a href="https://de.wikipedia.org/wiki">/</a> kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden <a href="https://de.wikipedia.org/wiki/Betriebssystem">System</a> ausf&uuml;hren. Der Code wird dabei mit den <a href="https://de.wikipedia.org/wiki/Benutzerrecht">Privilegien</a> des Benutzers ausgef&uuml;hrt, der gestartet hat. Sofern der Benutzer administrative Privilegien besitzt, f&uuml;hrt die erfolgreiche Ausnutzung dieser Schwachstelle zur <a href="https://de.wikipedia.org/wiki/Technische_Kompromittierung">Kompromittierung</a> des beherbergenden Systems. </p> <P> </P> --> <H3><a name="workaround"></a>Workaround</H3> <UL> <LI>Umstieg auf einen anderen Browser</LI> <LI>Um die Ausnutzung der Schwachstelle zu verhindern, kann die Scripting Engine abgeschaltet werden. Information zu den dazu notwendigen Schritten findet sich hier: <UL> <LI>Für deutsche Windows-Versionen lesen sie bitte den Abschnitt "Workaround: die Scripting-Engine deaktiveren" des Artikels <a href="https://www.heise.de/security/meldung/Internet-Explorer-Zero-Day-Schwachstelle-in-JScript-Scripting-Engine-4641331.html">Internet Explorer: Zero-Day-Schwachstelle in JScript Scripting Engine </a> auf heise-Online.</LI> <LI>Für anglophone Windows-Versionen lesen Sie bitte den Abschnitt "Workarounds" des Microsoft-Advisories <a href="https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV200001">ADV200001 | Microsoft Guidance on Scripting Engine Memory Corruption Vulnerability</a>.</LI> </UL> </LI> </UL> <H3><a name="countermeasures"></a>Gegenma&szlig;nahmen</H3> <UL> <LI>Installation eines Patches, sobald dieser verfügbar ist</LI> </UL> <H3><a name="vulnerability-id"></a>Vulnerability ID</H3> <UL> <LI><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-0674">CVE-2020-0674</a></LI> </UL> <H3><a name="bibliography"></a>Weitere Information zu diesem Thema</H3> <UL> <LI>heise-Online: <a href="https://www.heise.de/security/meldung/Internet-Explorer-Zero-Day-Schwachstelle-in-JScript-Scripting-Engine-4641331.html">Internet Explorer: Zero-Day-Schwachstelle in JScript Scripting Engine </a></LI> <LI>Microsoft: <a href="https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV200001">ADV200001 | Microsoft Guidance on Scripting Engine Memory Corruption Vulnerability</a></LI> </UL> <!-- <H3><a name="exploit-status"></a>Exploit Status</H3> <UL> <LI></LI> </UL> --> <!-- <H3><a name="revisions"></a>Revisionen dieser Meldung</H3> <UL> <LI>V 1.0 ()</LI> </UL> --> (<A HREF="mailto:Goebel@CERT.Uni-Stuttgart.DE">og</A>)<P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2020-01-20T16:58:00.462042Z og http://cert.uni-stuttgart.de/ticker/article.php?mid=1761

Meldung Nr: RUS-CERT-1761<br><br> <FONT SIZE="+2"><B>[Ransomware] Vorgebliche Fax-Benachrichtigung enthält URL zu Verschlüsselungssoftware </B></FONT><BR> <FONT SIZE="-1">(2019-09-24 13:19:01.206751+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1761">Druckversion</A><BR></FONT><BR> <BR><P><B>Derzeit erhalten Benutzer per E-Mail Benachrichtigungen zu einem vorgeblich für sie unter einem in der Nachricht enthaltenen URL hinterlegten Fax und die Aufforderung, dieses herunterzuladen und zu betrachten. Das Herunterladen und Betrachten der hinterlegten Datei führt jedoch zur Installation von Ransomware, die unmittelbar beginnt, die Daten, auf die vom betroffenen Rechnersystem zugegriffen werden kann, zu verschlüsseln. </B></P> <P><H3>Inhalt</H3> <UL> <LI><a href="#extract">Zusammenfassung</a></LI> <LI><a href="#description">Beschreibung</a></LI> <LI><a href="#countermeasures">Gegenma&szlig;nahmen</a></LI> <LI><a href="#bibliography">Weitere Information zu diesem Thema</a></LI> <!--<LI><a href="#revisions">Revisionen dieser Meldung</a></LI>--> </UL> <h3><a name="extract"></a>Zusammenfassung</h3> <table> <tr><td>Einfallstor:</td> <td><a href="https://de.wikipedia.org/wiki/E-Mail">E-Mail</a></td></tr> <tr><td>Auswirkung:</td> <td>Verschlüsselung von Daten auf dem betroffenen Rechnersystem</td></tr> <tr><td>Typ:</td> <td><a href="https://cert.uni-stuttgart.de/themen/viren.html#ransomware">Ransomware</a></td></tr> <tr><td>Gefahrenpotential:</td> <td>hoch</td></tr> </table> <H3><a name="description"></a>Beschreibung</H3> <P> Die Nachrichten tragen den Absender der Form "<code>eFax-Dienst &lt;Vorname.Nachname@efaxclient.xyz&gt;</code>" (wobei jeweils verschiedene Vornamen und Nachnamen eingesetzt sind) und sehen wie folgt oder ähnlich aus: <pre> Faxnachricht fur pc-support@tik.uni-stuttgart.de Sie haben am Donnerstag, 23.09.2019, ein einseitiges Fax erhalten. * die Referenznummer fur dieses Fax ist an efax-59541875233-4671-30253. Bitte laden Sie Microsoft Word-Anhang herunter und betrachten Sie ihn. Bitte besuchen Sie www.efax.eu/faq, wenn Sie Fragen zu dieser Nachricht habenoder Ihre Dienstleistung efax-59541875233-4671-30253.doc </pre> </p> <p> Da die E-Mail-Nachrichten selbst keine Malware enthalten, warnen installierte Malwarefilter u.U. nicht. Auch der am zentralen Mailrelay installierte Filter für Office-Anhänge mit Makros kann die Zustellung dieser Nachrichten nicht verhindern. </p> <H3><a name="countermeasures"></a>Gegenma&szlig;nahmen</H3> <UL> <LI>Sofern Sie eine solche Nachricht erhalten,<b>laden Sie auf keinen Fall die vermeintliche Fax-Nachricht, klicken Sie auf keine enthaltenen URLs</b>! </LI> <LI>Die wirksamste Gegenmaßnahme ist nach wie vor das gesunde Misstrauen des Benutzers und die Vorsicht beim Umgang mit Links auf fremde Seiten!</LI> <LI>Die Stabsstelle Informationssicherheit (RUS-CERT) sperrt die IP-Adressen der Server, auf denen bekanntermaßen die nachzuladende Malware vorgehalten wird, so dass diese nicht mehr auf Rechner im Uni-Netz nachgeladen werden können. Diese Maßnahme ist jedoch nur ein Notbehelf, der einen Teil der Gefahr bannt.</LI> </UL> <H3><a name="bibliography"></a>Weitere Information zu diesem Thema</H3> <UL> <LI> Beachten Sie die <a href="https://cert.uni-stuttgart.de/themen/viren.html#allgemeinehinweise">Hinweise</a> der Stabsstelle Informationssicherheit (RUS-CERT) zu Malware. </LI> <LI>Siehe auch: <a href="https://www.tik.uni-stuttgart.de/das-tik/aktuelles/#id-79506864">Betriebsmeldung des TIK</a> zu diesem Thema.</LI> </UL> <!-- <H3><a name="revisions"></a>Revisionen dieser Meldung</H3> <UL> <LI>V 1.0 ()</LI> <LI></LI> </UL> --> (<A HREF="mailto:Goebel@CERT.Uni-Stuttgart.DE">og</A>)<HR><P><B>Weitere Artikel zu diesem Thema:</B></P><UL> <LI><A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.php?mid=1752">Maßnahmen gegen E-Mails mit Schadsoftware (u.a. Emotet/Trickbot)</A> (2018-12-07) <BR>Um die seit einiger Zeit stark vermehrt auftretende Malware, die Makros in Microsoft Office Dokumenten nutzt (u.A. <em>Emotet</em>), effektiver zu bekämpfen, wurde Anfang Dezember 2018 auf den zentralen Mailservern der Universität Stuttgart eine Maßnahme ergriffen, die die Last der E-Mails mit infektiösen Anhängen drastisch senken konnte. Die Maßnahme verhindert die Annahme von Nachrichten, die von einem Server außerhalb der Universität gesendet wurden und eine Microsoft-Office-Datei mit Makros als Anhang besitzen. Dies führt dazu, dass Mails mit Makro-basierter Malware im Anhang ausgefiltert werden, verhindert jedoch auch, dass legitime E-Mails mit einem solchen Anhang, die über die zentralen Mailrelays gesendet werden, angenommen und an den vorgesehenen Empfänger an der Uni ausgeliefert werden. Für diese Fälle wird empfohlen, entweder Anhänge ohne Makros zu versenden oder die Dokumente in anderen Formaten (etwa PDF) anzuhängen.<br> </LI> </UL> <P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2019-09-24T13:19:01.206751Z og http://cert.uni-stuttgart.de/ticker/article.php?mid=1759

Meldung Nr: RUS-CERT-1759<br><br> <FONT SIZE="+2"><B>[Microsoft/Windows] Wartung für Windows 7 läuft am 14. Januar 2020 aus</B></FONT><BR> <FONT SIZE="-1">(2019-09-16 21:13:08.524881+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1759">Druckversion</A><BR></FONT><BR> Quelle:&nbsp;<A target="_top" HREF="https://support.microsoft.com/de-de/help/4057281/windows-7-support-will-end-on-january-14-2020">https://support.microsoft.com/de-de/help/4057281/windows-7-support-will-end-on-january-14-2020</A><BR><BR><P><B>Am 14.1.2020, endet die Unterstützung für das Betriebssystem Windows 7 von Microsoft. Das bedeutet, dass ab diesem Zeitpunkt keine Aktualisierungen und vor allem keine Patches für Sicherheitslücken mehr veröffentlicht werden. Der Betrieb von Rechnersystemen unter Windows 7 muss daher ab nächstem Jahr als zunehmend unsicher angesehen werden. Betreiber solcher Rechnersysteme wird dringend empfohlen, diese Systeme bis spätestens zum 14. Januar 2020 auf ein gewartetes Betriebssystem zu migrieren. </B></P> <P><H3>Inhalt</H3> <UL> <!-- --> <LI><a href="#extract">Zusammenfassung</a></LI> <LI><a href="#affected">Betroffene Systeme</a></LI> <LI><a href="#type">Typ</a></LI> <LI><a href="#risk">Gefahrenpotential</a></LI> <LI><a href="#description">Beschreibung</a></LI> <LI><a href="#countermeasures">Gegenma&szlig;nahmen</a></LI> <LI><a href="#workaround">Workaround</a></LI> <LI><a href="#bibliography">Weitere Information zu diesem Thema</a></LI> <!--<LI><a href="#revisions">Revisionen dieser Meldung</a></LI>--> </UL> <h3><a name="extract"></a>Zusammenfassung</h3> <blockquote> <table> <tr><td>Betroffen:</td> <td><a href="https://de.wikipedia.org/wiki/Windows_7">Microsoft Windows 7</a>, alle Versionen</td> </tr> <tr><td>Typ:</td> <td>Ende der Wartung (end of life)</td></tr> <tr><td>Gefahrenpotential:</td> <td>ab 14.1.2020: hoch und steigend</td></tr> <tr><td>Gegenma&szlig;nahmen:</td> <td><a href="#countermeasures">Umstieg auf ein gewartetes Betriebssystem</a></td></tr> <tr><td>Workaround:</td> <td><a href="#workaround">nur in besonders begründeten Fällen</a></td></tr> <!--<tr><td>Version:</td> <td>1.0</td></tr>--> </table> </blockquote> <!-- --> <H3><a name="affected"></a>Betroffene Systeme</H3> <UL> </LI> <LI>Alle Versionen des Betriebssystems <a href="https://de.wikipedia.org/wiki/Windows_7">Microsoft Windows 7</a></LI> </UL> </P> <!--<H3><a name="impact"></a>Auswirkung</H3> <UL> <LI>Der Weiterbetrieb von Systemen nach Ende ihres Produktlebens (<em>end of life</em>) kann bei ihrer Beteiligung an einem Sicherheitsvorfall als fahrlässig gewertet werden. Dies kann u.U. zu erheblichem Reputationsschaden für den Betreiber (hier: die Universität Stuttgart) führen. <br> (<em>Fahrlässigkeit</em>) </LI> </UL>--> <H3><a name="type"></a>Typ</H3> <UL> <LI>Ende der Wartung <br> (<em>end of life</em>) </LI> </UL> <H3><a name="risk"></a>Gefahrenpotential</H3> <UL> <LI> Spätestens ab 14.1.2020: <br> <em>hoch</em> mit der Tendez zu steigen. </LI> </UL> <!--<BR><FONT SIZE=-1>(Hinweise zur <A HREF="http://cert.uni-stuttgart.de/ticker/charta.php#Gefaehrdungsstufen">Einstufung</A> des Gefahrenpotentials.)</FONT></P>--> <H3><a name="description"></a>Beschreibung</H3> <P> Am 14. Januar 2020 endet die Wartung des Betriebssystems Microsoft Windows 7. Ab diesem Zeitpunkt werden durch den Hersteller Microsoft keine Aktualisierungen (Updates) für Windows 7 im normalen Produktzyklus mehr bereitgestellt. </p> <P> Da für Rechnersysteme unter einem Betriebssystem, für die keine sicherheitsrelevanten Aktualisierungen mehr verfügbar sind, erkannte Sicherheitslücken nicht mehr behoben werden, sind die Systeme als trivial kompromittierbar anzusehen. Da sich zudem erfahrungsgemäß die Sicherheitslücken für solche Systeme akkumulieren, steigt das Risiko für Kompromittierungen dieser Systeme über die Zeit. </P> <P> <b>Es wird daher dringend empfohlen, Windows-7-Installationen zum Ende der Wartung am 14.1.2020 abzuschalten oder auf ein gewartetes Betriebssystem zu migrieren.</b> </P> <H3><a name="countermeasures"></a>Gegenma&szlig;nahmen</H3> <UL> <LI>Außerbetriebsetzung betroffener Systeme</LI> <LI>Migration auf ein gewartetes Betriebssystem</LI> <UL> z.B. <LI>Microsoft Windows 10<br> <!--Hier ist zu beachten, dass <UL> <LI>Windows 10 mehr Ressourcen benötigt, als Windows 7, ggf. ist leistungsfähigere Hardware nötig.</LI> <LI>Windows 10 sehr sorgfältig konfiguriert werden muss, da es voreingestellt viele Daten an Microsoft schickt.</LI> </UL>--> </LI> <LI>Ein anderes Betriebssystem</LI> </UL> </UL> <H3><a name="workaround"></a>Workaround</H3> Sollte eine Umstellung auf ein anderes Betriebssystem nicht möglich sein (z.B. bei kostspieligen <a href="http://cert.uni-stuttgart.de/themen/netzdesign/appliances.html#messgeraete">Laborgeräte</a>, die aus technischen Gründen nicht migriert werden können, aber dennoch weiterbetrieben werden müssen) oder eine geplante Migration bis zum 14.1.2020 nicht abgeschlossen sein, kann ein Weiterbetrieb erfolgen, gibt es folgende Behelfslösungen: <UL> <LI> <b>Windows 7 Extended Security Updates:</b> Microsoft stellt für Inhaber von Volumenlizenzen für Windows 7 Professional und Windows 7 Enterprise bis 2023 gegen eine jährliche steigende Gebühr noch Sicherheitspatches für von Microsoft als kritisch eingestufte Sicherheitslücken zur Verfügung. Durch die zeitliche Begrenzung und die pro System anfallende Gebühr stellt dies jedoch bestenfalls eine Übergangslösung dar. </LI> <LI><b>Herstellung der Kommunikationskontrolle</b> durch <ul> <li>Betrieb der Systeme ohne Netzwerkanschluss (keinerlei Konnektivität, auch keinerlei Funknetze), oder</li> <li>Platzierung der Systeme in einem <a href="http://cert.uni-stuttgart.de/themen/netzdesign/appliances.html#massnahmen">abgeschotteten Netz</a>, das keinerlei direkte Kommunikation mit anderen Netzen ermöglicht.</li> </ul> </LI> </UL> <H3><a name="bibliography"></a>Weitere Information zu diesem Thema</H3> <UL> <LI><a href="https://support.microsoft.com/de-de/help/4057281/windows-7-support-will-end-on-january-14-2020">Microsoft: Der Support für Windows 7 endet am 14. Januar 2020.</a></LI> <LI><a href="https://support.microsoft.com/de-de/help/13853/windows-lifecycle-fact-sheet">Microsoft: Informationsblatt zum Lebenszyklus von Windows</a></LI> <LI><a href="https://de.wikipedia.org/wiki/Microsoft_Windows_10#Daten%C3%BCbertragung">Wikipedia: Information zur Datenübertragung ("Telemetrie") von Windows 10 an Microsoft</a></li> <li><a href="https://praxistipps.chip.de/windows-10-datenschutz-richtig-einstellen-privatsphaere-schuetzen_43246">Chip: Windows 10: Datenschutz richtig einstellen & Privatsphäre schützen</a></li> </UL> <!-- <H3><a name="revisions"></a>Revisionen dieser Meldung</H3> <UL> <LI>V 1.0 ()</LI> </UL> --> (<A HREF="mailto:Goebel@CERT.Uni-Stuttgart.DE">og</A>)<HR><P><B>Weitere Artikel zu diesem Thema:</B></P><UL> <LI><A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.php?mid=1754">[Microsoft/Windows] Wartung für Windows 7 läuft im Januar 2020 aus</A> (2019-02-28) <BR>Am 14.1.2020 endet die Unterstützung von Microsoft für Windows 7. Das bedeutet, dass ab dann keine Aktualisierungen und vor allem keine Patches für Sicherheitslücken mehr veröffentlicht werden. Der Betrieb von Rechnersystemen unter Windows 7 muss ab diesem Zeitpunkt als unsicher angesehen werden. Betreibern von Rechnersystemen unter Windows 7 wird daher geraten, diese Systeme bis spätestens zum o.g. Zeitpunkt auf ein neueres Windows- oder anderes, gewartetes Betriebssystem zu migrieren. </LI> </UL> <P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2019-09-16T21:13:08.524881Z og http://cert.uni-stuttgart.de/ticker/article.php?mid=1760

Meldung Nr: RUS-CERT-1760<br><br> <FONT SIZE="+2"><B>[Universität Stuttgart/ISL] Leitlinie zur Informationssicherheit bekannt gemacht</B></FONT><BR> <FONT SIZE="-1">(2019-09-09 15:11:11.364547+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1760">Druckversion</A><BR></FONT><BR> Quelle:&nbsp;<A target="_top" HREF="https://www.verwaltung.uni-stuttgart.de/rundschreiben/2019/rs2019-34.html?__locale=">https://www.verwaltung.uni-stuttgart.de/rundschreiben/2019/rs2019-34.html?__locale=</A><BR><BR><P><B>Die Leitlinie zur Informationssicherheit der Universität Stuttgart (ISL), die am 22. Januar 2019 durch das Rektorat beschlossen und in Kraft gesetzt worden war, ist bekannt gemacht worden und wurde damit hochschulrechtlich verbindlich. Die Leitlinie legt Ziele und Strategie der Informationssicherheit fest und bildet die Grundlage für ihre Umsetzung an der Universität Stuttgart.</B></P> <P> (<A HREF="mailto:Goebel@CERT.Uni-Stuttgart.DE">og</A>)<P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2019-09-09T15:11:11.364547Z og http://cert.uni-stuttgart.de/ticker/article.php?mid=1758

Meldung Nr: RUS-CERT-1758<br><br> <FONT SIZE="+2"><B>[Windows/RDP] Gravierende Sicherheitslücke <em>DejaBlue</em> im Windows-RDP-Dienst</B></FONT><BR> <FONT SIZE="-1">(2019-08-15 09:34:35.526831+00)&nbsp;<A target="_top" HREF="http://cert.uni-stuttgart.de/ticker/article.print.php?mid=1758">Druckversion</A><BR></FONT><BR> Quelle:&nbsp;<A target="_top" HREF="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1181">https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1181</A><BR><BR><P><B>Eine kritische Sicherheitslücke in allen aktuellen Windows Client- und Server-Versionen ermöglicht es, mithilfe des RDP-Dienstes beliebigen Code auf einem verwundbaren Windows-System auszuführen. Die Ausnutzung der Schwachstelle ist automatisierbar. Microsoft stellt Patches für alle betroffenen Betriebssystemversionen bereit. Es wird dringend empfohlen, betroffene Systeme umgehend zu aktualisieren.</B></P> <P><H3>Inhalt</H3> <UL> <!-- --> <LI><a href="#extract">Zusammenfassung</a></LI> <LI><a href="#description">Beschreibung</a></LI> <LI><a href="#workaround">Workaround</a></LI> <LI><a href="#countermeasures">Gegenma&szlig;nahmen</a></LI> <LI><a href="#exploit-status">Exploit Status</a></LI> </UL> <h3><a name="extract"></a>Zusammenfassung</h3> <table> <tr><td>Betroffen:</td> <td>Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2012, Windows Server 2016, Windows Server 2019</td> </tr> <tr><td>Nicht betroffen:</td> <td>Windows 7 Service Pack 1 und Windows Server 2008 R2 Service Pack 1, falls weder RDP 8.0 noch RDP 8.1 installiert ist</td> </tr> <tr><td>Plattform:</td> <td><a href="https://de.wikipedia.org/wiki/Microsoft_Windows">Microsoft Windows</a></td> </tr> <tr><td>Einfallstor:</td> <td><a href="https://de.wikipedia.org/wiki/Remote_Desktop_Protocol">Remote Desktop Protokoll</a></td></tr> <tr><td>Angriffsvoraussetzung:</td><td>Zugriff auf das Netzwerk (network)</td></tr> <tr><td>Angriffsvektorklasse:</td> <td>remote</td></tr> <tr><td>Auswirkung:</td> <td>Ausführung beliebigen Programmcodes, beliebiger Zugriff auf den beherbergenden Rechner und die dort gespeicherten Daten (system compromise)</td></tr> <tr><td>Typ:</td> <td>fehlerhafte Eingabeüberprüfung</td></tr> <tr><td>Gefahrenpotential:</td> <td>sehr hoch (CVSS 9.8)</td></tr> <tr><td>Workaround:</td> <td><a href="#workaround">ja</a></td></tr> <tr><td>Gegenma&szlig;nahmen:</td> <td><a href="#countermeasures">Patch</a></td></tr> <tr><td>Vulnerability ID:</td> <td><a href="https://nvd.nist.gov/vuln/detail/CVE-2019-1181">CVE-2019-1181</a> <a href="https://nvd.nist.gov/vuln/detail/CVE-2019-1182">CVE-2019-1182</a> <a href="https://nvd.nist.gov/vuln/detail/CVE-2019-1222">CVE-2019-1222</a> <a href="https://nvd.nist.gov/vuln/detail/CVE-2019-1226">CVE-2019-1226</a></td></tr> <tr><td>Exploit Status:</td> <td>unbekannt</td></tr> </table> <H3><a name="description"></a>Beschreibung</H3> <P> Microsoft warnt vor einer kritischen Sicherheitslücke in <strong> aktuellen</strong> Windows Client- und Server-Versionen, die es ermöglicht, mithilfe des RDP-Dienstes beliebigen Code auf einem verwundbaren Windows-System auszuführen. Da für die Ausführung des Codes keinerlei Nutzerinteraktion notwendig ist, besteht die Gefahr, dass die Sicherheitslücke zur Verbreitung von Computerwürmern ausgenutzt wird, wie es 2017 bei der Verbreitung von <a href="https://cert.uni-stuttgart.de/ticker/article.php?mid=1747">WannaCry</a> über die Schwachstelle EternalBlue im SMB-Protokoll geschehen ist. </p> <P> Daher stellt Microsoft für alle betroffenen Versionen Patches bereit, die umgehend installiert werden sollten. Grundsätzlich wird empfohlen, RDP nur zu aktivieren, wenn der Dienst wirklich benötigt wird und ihn anderenfalls zu deaktivieren. </P> <H3><a name="workaround"></a>Workaround</H3> <UL> <LI><a href="https://support.microsoft.com/en-us/help/186627/how-to-temporarily-disable-terminal-server-client-logons">Deaktivierung von RDP</a>, wenn nicht benötigt</LI> <LI>Aktivierung der <a href="https://social.technet.microsoft.com/Forums/azure/en-US/9f7881d5-1960-41c7-9528-c1a671ee88b7/rdp-issues-remote-computers-requires-network-level-authentication">Network Level Authentication (NLA)</a></LI> </UL> <H3><a name="countermeasures"></a>Gegenma&szlig;nahmen</H3> <UL> <LI>Umgehende Aktualisierung (Update) betroffener Systeme</LI> </UL> <H3><a name="exploit-status"></a>Exploit Status</H3> <UL> <LI>Die Sicherheitslücke wurde von Microsoft selbst entdeckt; es ist unklar, ob bereits ein Exploit existiert.</LI> </UL> (<A HREF="mailto:weidler@cert.uni-stuttgart.de">vw</A>)<P><B>Hinweis</B><BR> Die in diesem Text enthaltene Information wurde f&uuml;r die Mitglieder der Universit&auml;t Stuttgart recherchiert und zusammengestellt. Die Universit&auml;t Stuttgart &uuml;bernimmt keinerlei Haftung f&uuml;r die Inhalte. Dieser Artikel darf ausschlie&szlig;lich in unver&auml;nderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis ver&ouml;ffentlicht werden. Eine Ver&ouml;ffentlichung unter diesen Bedingungen an anderer Stelle ist ausdr&uuml;cklich gestattet.</P>

2019-08-15T09:34:35.526831Z vw