0patch schließt RasMan-DoS unter Windows vor Microsoft

Windows-Denial-of-Service-Schwachstellen 0patch schließt RasMan-Absturzlücke vor Microsoft

23.12.2025 Von Paula Breukel 2 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

fsas-afc-horizontal-2-positive-rgb-nov24 (Fsas)

Fsas Technologies GmbH

V2_Screen_M.png (SEPPmail - Deutschlang GmbH)

SEPPmail - Deutschland GmbH

Eine ungepatchte Denial-of-Service-Schwachstelle im Windows-Dienst „RasMan“ lässt sich lokal ohne Adminrechte auslösen. 0patch verteilt dafür einen kostenlosen Micropatch, Microsoft kündigt einen späteren Fix an.

0patch verteilt für die DoS-Schwachstelle einen Micropatch. Dieser soll Admins helfen, bis Microsoft einen Fix ausrollt.(Bild: © Antonio - stock.adobe.com) — 0patch verteilt für die DoS-Schwachstelle einen Micropatch. Dieser soll Admins helfen, bis Microsoft einen Fix ausrollt.
(Bild: © Antonio - stock.adobe.com)

Betroffen ist der Windows „Remote Access Connection Manager“, der Dienstname lautet „RasMan“. Dieser Dienst verwaltet unter anderem VPN-Verbindungen und weitere Remote-Access-Funktionen. Ein lokal angemeldeter Nutzer ohne Administratorrechte kann den Dienst gezielt zum Absturz bringen; die Folge sind Ausfälle der zugehörigen Remote-Access-Funktionen, bis RasMan neu startet.

Besonders gravierend sind beim Oktober Patchday von Microsoft die Remote-Code-Ausführungen in WSUS, der Windows-Grafikkomponente, im URL-Parser , in SharePoint und im RDP-Client. (Bild: Dall-E / Vogel IT-Medien / KI-generiert)

0patch führt die Ursache auf eine fehlerhafte Logik beim Durchlaufen einer zirkulären verketteten Liste zurück. Trifft der Code auf einen Nullzeiger, läuft die Verarbeitung weiter und greift anschließend über diesen Nullzeiger auf Speicher zu. Das endet in einer Speicherzugriffsverletzung und beendet den RasMan-Prozess.

Inwieweit hängt der DoS mit CVE-2025-59230 zusammen?

Microsoft schloss mit den Updates vom Oktober 2025 schloss den CVE-2025-59230. Laut Berichten wurde dieser aktiv ausgenutzt. Hierbei handelt es sich um eine lokale Rechteausweitung im selben Windows-Remote-Access-Connection-Manager-Baustein. Der von 0patch analysierte Exploit kombinierte beide Bausteine, weil CVE-2025-59230 praktisch eine RasMan-Instanz im Zustand „nicht laufend“ voraussetzt. Der neue Crash liefert dafür den Hebel. Systeme mit installiertem Oktober-Patch sind gegen diese konkrete Rechteausweitungs-Kette abgesichert. Doch der DoS bleibt ein eigenständiges Problem.

Micropatches über 0patch und aktueller Stand bei Microsoft

Microsoft kennt die Denial-of-Service-Meldung und stellt einen Fix für ein zukünftiges Update in Aussicht; eine CVE-Nummer für die DoS-Lücke lag in den Berichten noch nicht vor. 0patch verteilt bis dahin einen Micropatch, der die Schleife bei einem Nullzeiger sauber beendet. Laut 0patch stehen Micropatches für Windows 7 bis Windows 11 sowie Windows Server 2008 R2 bis Server 2025 bereit, jeweils auf dem Stand „fully updated“. Die Verteilung erfolgt über den 0patch Agent und ist im Free-Tarif enthalten, solange der Herstellerpatch fehlt.

Das können Admins jetzt tun

Oktober-Updates 2025 für Windows installieren, um CVE-2025-59230 zu schließen.

RasMan nur dort aktiv lassen, wo Remote-Access-Funktionen wirklich gebraucht werden. Änderungen an Diensten gehören in ein abgestimmtes Betriebsmodell, weil VPN und Einwahl-Szenarien sonst ausfallen.

DoS-Risiko bis zum Microsoft-Fix reduzieren, etwa über den Micropatch-Ansatz von 0patch, sofern Drittpatching im Unternehmen freigegeben ist.

Wir haben die wichtigsten Fakten zum Support-Ende von Windows 10 zusammengetragen, mit Experten mögliche Sicherheitsmaßnahmen für den Weiterbetrieb bewertet und ein alternatives Betriebssystem vorgestellt. Das Ergebnis ist diese Podcast-Reihe, die Sie durch diese Woche begleitet. (Bild: Vogel IT-Medien)

Zentrale Update-Verwaltung unter Windows: Die Windows Update Orchestration Platform bündelt Updates in einem einheitlichen Patch-Prozess und verschafft Administratoren mehr Kontrolle. (Bild: © Gorodenkoff - stock.adobe.com)

Viele IT Teams gehen davon aus, dass Microsoft Tenant Konfigurationen automatisch absichert. Der CoreView-Report zu Microsoft 365 Security zeigt, wie riskant diese Annahme ist. (Bild: Midjourney / Paula Breukel / KI-generiert)

(ID:50661574)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.