Microsoft: Patch MS14-066 führt zu Kompatibilitätsproblemen

Microsoft hat auf Probleme mit dem Sicherheits-Update MS14-066 hingewiesen und Anwendern Hinweise gegeben, wie eine behelfsmäßige Lösung aussehen kann. Das Update zieht der Konzern allerdings nicht zurück. Und er rät Nutzer auch nicht wie in früheren Fällen schon einmal zur Deinstallation des Patches.

Die mit dem Patch geschlossene Schwachstelle in Schannel, Microsofts Implementierung der SSL/TLS-Verschlüsselung, wird als sehr gravierend eingestuft. Nutzer sollten den Patch daher schnellstmöglich installieren. Bei einigen Nutzern treten danach aber schwerwiegende Fehler auf.

Laut Microsoft geschieht dies vor allem dann, wenn TLS 1.2 voreingestellt ist und das Aushandeln einer verschlüsselten Verbindung scheitert. “TLS-1.2-Verbindungen brechen ab, Prozesse und Dienste reagieren nicht mehr”, teilt das Unternehmen mit. Darüber hinaus findet sich im Ereignisprotokoll ein Eintrag mit der Event-ID 36887, wonach das TLS-Protokoll einen Fehlercode 40 erzeugt.

Die eigentliche Ursache für das Problem sind vier neue Zeichenfolgen für TLS, die Microsoft zusätzlich zu dem Fix für die Sicherheitslücke ausliefert. In einem Hilfeartikel empfiehlt Microsoft, diese Zeichenfolgen zu löschen. Dafür ist allerdings ein Eingriff in die Registrierungsdatenbank und ein Neustart von Windows erforderlich.

Den Patch zu deinstallieren empfiehlt sich nicht. Laut Microsoft kann ein Angreifer die damit geschlossene Lücke im Secure Channel (Schannel) nämlich mittels präparierter Netzwerkpakete ausnutzen und beliebigen Schadcode auf einem betroffenen System ausführen. Cisco weist zudem darauf hin, dass es sich trotz einer einzelnen CVE (CVE-2014-6321) um mehrere Schwachstellen handelt, die Microsoft beseitigt, darunter mehrere Pufferüberläufe und mindestens ein Bug, mit dem sich die Prüfung von Sicherheitszertifikaten umgehen lässt.

Microsoft musste in den vergangenen Monaten mehrere Updates aufgrund von Fehlern zurückziehen. Im August waren eine Sicherheitsaktualisierung und mehrere nicht sicherheitsrelevante Updates zunächst wieder entfernt und später neu veröffentlicht worden. Im September stellte es die Verteilung von Updates für Lync Server und OneDrive for Business vorübergehend ein.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de