Microsoft patcht Active-Directory-Patch
Aufgrund eines Fehlers musste Microsoft einen Patch für den Authentifizierungsdienst Active Directory wieder zurückziehen. Jetzt hat Microsoft den Patch bereinigt und wieder veröffentlicht.
Eine neue Aktualisierung steht für die die Active-Directory-Verbunddienste 2.0 (AD FS 2.0) unter Windows Server 2008 und 2008 R2 bereit. Die am vergangenen Dienstag veröffentlichte Version des Patches hatte es zusammen mit einem Update für Exchange Server wieder zurückziehen müssen, weil beide für Probleme sorgten.
Im aktualisierten Security Bulletin MS13-066 erklärt Microsoft: “Das erneut veröffentlichte Update behebt einen Fehler in der vorherigen Version, der dazu führte, dass AD FS nicht mehr funktionierte, falls das zuvor bereitgestellte Update 2790338 nicht installiert war. Die neue Version beseitigt diese Einschränkung. Darüber hinaus hat Microsoft mit der Neuveröffentlichung die zuvor mit zwei Updates (2843638 und 2843639) ausgelieferten Fixes zu einem zusammengefasst (2843638).”
Nutzern, die schon die beiden vorherigen Updates installiert haben, wird die neue Aktualisierung erneut angeboten. Sie sollten sie schnellstmöglich aufspielen. Nach der Installation wird dann ausschließlich Version 2843638 in der Liste installierter Updates angezeigt.
Die Probleme betreffen ausschließlich AD FS 2.0, nicht 1.x oder 2.1. Das Update wird vom Windows Server Update Service (WSUS) nur angezeigt, wenn AD FS 2.0 auf dem System installiert ist.
Laut Microsoft erlaubt die mit dem Update geschlossene Sicherheitslücke (CVE-2013-3185) eine “Offenlegung von Informationen”. Die Beschreibung deutet auf die Gefahr eines Denial-of-Service-Angriffs hin: “Mit der Sicherheitsanfälligkeit können Informationen offengelegt werden, die zu dem Dienstkonto gehören, das von den Active Directory-Verbunddiensten verwendet wird. Ein Angreifer kann dann versuchen, sich von außerhalb des Unternehmensnetzwerks anzumelden, was zu einer Sperrung des von ADFS verwendeten Dienstkontos führt, falls eine Kontosperrungsrichtlinie konfiguriert wurde. Dies wiederum führt zu einem Denial-of-Service für alle Anwendungen, die sich auf die ADFS-Instanz stützen.”
Das andere zurückgezogene Update (MS13-061) hat Microsoft noch nicht aktualisiert. Es sollte eine kritische Schwachstelle in Exchange Server beheben, die in Zusammenhang mit den Funktionen “WebReady Document Viewing” und “Schutz vor Datenverlust” stehen.
[mit Material von Björn Greif, ZDNet.de]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
