Mobile-Menu

Fix öffnet neue Angriffsfläche Probleme mit Windows-Update für CVE-2025-21204

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH
SEPPmail - Deutschland GmbH

Microsoft veröffentlichte Anfang April 2025 ein wichtiges Sicherheitsupdate, um eine Schwachstelle in der Windows-Prozessaktivierung zu schließen. Dieses Update hat allerdings neue Probleme geschaffen.

Microsoft hat eine Windows-Schwachstelle geschlossen und dabei eine neue, vielleicht sogar kritischere Angriffsfläche geöffnet.(Bild: Dall-E / KI-generiert)
Microsoft hat eine Windows-Schwachstelle geschlossen und dabei eine neue, vielleicht sogar kritischere Angriffsfläche geöffnet.
(Bild: Dall-E / KI-generiert)

Die unter der Kennung CVE-2025-21204 dokumentierte Lücke erlaubte es authentifizierten Angreifern, Dateiverwaltungsoperationen auf einem System im höchsten Berechtigungskontext NT AUTHORITY\SYSTEM durchzuführen. Der Fix von Microsoft schien auf den ersten Blick effektiv. Im Rahmen des Updates wurde ein neuer Ordner %systemdrive%\inetpub auf jedem Gerät angelegt. Doch dieser Ansatz öffnete eine neue, möglicherweise schwerwiegendere Sicherheitslücke, wie der renommierte IT-Experte Kevin Beaumont entdeckte

Die ursprüngliche Schwachstelle und Microsofts Reaktion

CVE-2025-21204 beruhte auf einer fehlerhaften Behandlung von symbolischen Verknüpfungen (Symlinks) innerhalb des Windows-Servicing-Stacks. Angreifer mit niedrigen Berechtigungen konnten durch präparierte Symlinks administrative Privilegien erlangen und kritische Dateien manipulieren. Microsoft bewertete das Risiko als hoch, da sowohl Vertraulichkeit als auch Integrität und Verfügbarkeit der betroffenen Systeme erheblich gefährdet waren.

Die Maßnahme zur Behebung der Lücke bestand darin, auf allen Systemen den Ordner %systemdrive%\inetpub verpflichtend zu erstellen. Laut Microsoft sollte dieser Ordner keinesfalls gelöscht werden, unabhängig davon, ob Internet Information Services (IIS) auf dem Gerät installiert sind. Ziel war es, potenzielle Angriffsvektoren durch vordefinierte Ordnerstrukturen zu minimieren.

Eine neue Verwundbarkeit entsteht

Kevin Beaumont zeigte jedoch auf, dass die Lösung neue Risiken birgt. Nicht-administrative Nutzer können innerhalb der Partition C:\ Junction Points erzeugen, die den neu erstellten Ordner auf beliebige Systemdateien oder ausführbare Programme verweisen. Durch den Befehl mklink /j c:\inetpub c:\windows\system32\notepad.exe lässt sich der Ordner etwa auf die ausführbare Datei von Notepad umleiten.

Diese Manipulation führt dazu, dass alle nachfolgenden Windows-Updates, einschließlich zukünftiger Sicherheitsaktualisierungen, fehlschlagen. Das Update-System bricht mit Fehlern ab oder rollt zurück, wodurch betroffene Systeme dauerhaft ungeschützt bleiben. Der Vorgang erfordert keine erhöhten Rechte, sondern lediglich Zugriff auf eine Kommandozeile mit Standardberechtigungen.

Stillstand bei der Update-Strategie

Problematisch ist die derzeitige Reaktion von Microsoft. Obwohl Beaumont die neue Lücke bereits vor zwei Wochen an das Microsoft Security Response Center (MSRC) gemeldet hat, blieb eine umfassende Lösung bislang aus. Statt einer schnellen Nachbesserung müssen Administratoren nun selbst Maßnahmen ergreifen, um ihre Systeme zu schützen.

Experten empfehlen, Endpoint Detection and Response-Lösungen daraufhin zu konfigurieren, das Erstellen von Junction Points, die vom inetpub-Ordner ausgehen, aktiv zu überwachen und zu blockieren. Ohne kurzfristige Korrekturen droht Unternehmen und Privatanwendern gleichermaßen ein erheblicher Verlust an Sicherheit, da Angreifer mit minimalem Aufwand Systeme gegen künftige Patches immunisieren können.

(ID:50404263)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte