Microsoft 365: Angreifer können die Authentifizierung aushebeln

Microsoft arbeitet bei der wichtigen Zwei-Wege-Authentfizierung für seine Microsoft 365-Dienste mit einem unsicheren System. Das teilten die Sicher­heitsforscher von Proofpoint mit, die mehrere Schwachstellen in dem dahinterliegenden WS-Trust-Standard gefunden haben. In ihrer Analyse kommen diese zu dem Schluss, dass es hier ein ziemlich unglückliches Zusammenspiel mehrerer Faktoren gibt: WS-Trust als inhärent unsicheres Protokoll sowie noch verschiedene Fehler bei dessen Implementation in die konkrete Anwendung. Betroffen sind davon im Grunde mehrere Unternehmen, allerdings ist Microsoft aufgrund der Verbreitung seiner Services natürlich besonders hervorzuheben.

WS-Trust wurde von mehreren großen Unternehmen gemeinsam als Standard für Sicherheits-Features in Webservices entwickelt und über die Standardisierungsorganisation OASIS sowie das World Wide Web Consortium (W3C) festgeschrieben. Zu den großen Nutzern gehören auch SAP und Oracle. Aufgrund dessen, dass die Schwachstellen bereits in den Spezifikationen angelegt sind, muss angenommen werden, dass die jetzt erkannten Probleme bereits seit Jahren existieren.

Interessante Angriffs-Option

Durch die Sicherheitslücken war es bei­spiels­weise möglich, dass Ang­reifer Zug­riff zu einem Dienst be­kamen, indem sie ihre IP-Adresse fälsch­ten und mit mani­pulierten Headern Anfragen an das System schick­ten. Diese wurden dann ohne weitere Nach­frage durch­gelassen. Darüber hinaus konnte die Zwei-Wege-Authentifizierung umgangen werden, indem man mit einer Mani­pulation des User-Agent-Headers dafür sorgte, dass die WS-Trust-Implemen­tierung gezwungen wurde, in den Modern Authen­tica­tion-Modus zu wechseln. Das führte dann ebenfalls dazu, dass dem Angrei­fer Ver­trauen ent­gegen­gebracht wurde.

Die Sicherheitsforscher haben ihre Erkenntnisse bereits auf der hauseigenen Proofpoint Protect-Konferenz demonstriert, die vor einigen Tagen stattfand. Unklar ist derzeit, inwieweit die verschiedenen Nutzer des WS-Trust-Standards bereits Gegenmaßnahmen ergriffen haben. Das Ausnutzen der Schwachstellen ist allerdings auch nicht ohne größeren Aufwand nötig. Da aber eben vor allem Dienste betroffen sind, die von Business-Usern genutzt werden und Industriespionage eine äußerst lukrative Sache ist, muss damit gerechnet werden, dass auch versucht wird, die Bugs auszunutzen.

Siehe auch: