Ähnlichkeiten mit bereits ausgenutzer Schwachstelle Zero-Day-Sicherheitslücke betrifft NTLM – schon wieder

Anbieter zum Thema

Acros Security

FTAPI Software GmbH

0Patch will eine weitere Sicherheitslücke entdeckt haben, die NTLM betrifft, und stellt erneut einen Micropatch bereit, da es von Microsoft noch kein Update gibt. Die wiederholte Fehleranfälligkeit von NTLM lässt an der Sicherheit der Protokolle zweifeln.

Während sie ein Problem in einer von ihnen sicherheitsoptimierten Version von Windows behoben, fanden die Sicherheitsforscher von Acros Security, dem Betreiber der 0Patch-Plattform, eine Sicherheitslücke. Diese betreffe alle Workstation- und Server-Versionen von Windows 7 und Server 2008 R2 bis hin zu Windows 11 v24H2 und Server 2025. Durch Ausnutzung dieser Zero-Day-Schwachstelle sei es Angreifern möglich, die NTLM-Anmelde­informationen eines Nutzers abzugreifen, indem er diesen dazu bringe, eine schädliche Datei im Windows Explorer anzuzeigen. Dies gelinge beispielsweise durch Öffnen eines freigegebenen Ordners oder USB-Sticks mit der entsprechenden schädlichen Shell-Command-Datei oder durch Anzeigen eines Ordners, aus dem die SC-Datei zuvor automatisch von einer gefälschten Webseite des Angreifers heruntergeladen wurde.

NTLM ist angreifbar

Zero-Day-Schwachstelle gefährdet Millionen Windows-Geräte

Ähnlichkeiten mit bekannter Schwachstelle

Zwar möchten die Analysten zum jetzigen Zeitpunkt noch keine detaillierten Informationen über die Zero-Day-Sicherheitslücke preisgeben, um das Risiko einer Ausnutzung zu minimieren. Erst wenn ein offizieller Patch von Microsoft verfügbar sei, wolle man Details liefern.

Zumindest informiert 0Patch, dass die Auswirkungen der gefundenen Sicherheitslücke Ähnlichkeiten mit denen einer Schwachstelle aufweise, die beim Patchday im Februar von Microsoft behoben wurde. Dabei handelte es sich um CVE-2025-21377 (CVSS 6.5), die es Angreifern ermöglichte, durch Spoofing-Techniken, NTLM-Hashes offenzulegen. Die Analysten geben zu Bedenken, dass diese Art von Schwachstelle zwar nicht kritisch ist und ihre Ausnutzung von verschiedenen Faktoren abhängt, zum Beispiel davon, ob sich der Angreifer bereits im Netzwerk seines Opfers befindet oder über ein externes Ziel wie einen öffentlich zugänglichen Exchange-Server verfügt, an den er die gestohlenen Anmeldeinformationen weiterleiten kann. Doch CVE-2025-21377 sei bereits für Attacken erfolgreich ausgenutzt worden. Dafür, dass die neu entdeckte Schwachstelle bereits ausgenutzt wurde, gebe es derzeit noch keine Hinweise.

So funktioniert 0Patch

Micropatches: In-Memory Schutz für Windows 10

Wiederkehrende Probleme mit Microsofts NTLM

Dies sei bereits das vierte Mal in kurzer Zeit, dass 0Patch eine Zero-Day-Sicherheitslücke an Microsoft gemeldet hätte. Zuvor hätten die Analysten neben CVE-2025-21377 auch CVE-2025-21308 entdeckt und gemeldet sowie, die beim Patchday im Januar behoben wurde. Darüber hinaus sei eine weitere Sicherheitslücke, die 0Patch als „EventLogCrasher“ bezeichnet und Ende Januar entdeckte und meldete, noch immer nicht gepatcht. EventLogCrasher ermögliche es Angreifern, die gesamte Windows-Ereignisprotokollierung auf allen Domänencomputern zu deaktivieren.

Mittlerweile ist NTLM sehr anfällig für Cyberattacken. Deshalb wird der Dienst von Microsoft in den Ruhestand versetzt und aus Windows 11 sowie aus Windows Server 2025 entfernt. Als Alternative hat Microsoft schon 2000 Kerberos vorgestellt. Über die LinkedIn-Seite von Security-Insider haben wir unsere Leserinnen und Leser gefragt, ob sie überhaupt noch NTLM nutzen – wenn ja, eigenständig oder als Fallback – oder sie auf eine andere Authentifizierungslösung setzen. Dies waren die Antworten:

• Ja, wir nutzen NTLM (18 Prozent)

• Ja, NTLM als Fallback (8 Prozent)

• Nein, wir nutzen Kerberos (61 Prozent)

• Nein, wir nutzen eine andere Authentifizierung (13 Prozent)

Das ein Großteil auf Kerberos setzt, ist nicht überraschend. Denn während NTLM auf einem Challenge-Response-Mechanismus basiert und anfällig für Relay-Angriffe ist, verwendet Kerberos durch starke kryptografische Techniken geschützte Tickets. Dennoch nutzen einige unserer Leser nach wie vor NTLM, entweder eigenständig oder als Fallback-Lösung. Dies mag daran liegen, dass NTLM keine lokale Netzwerkverbindung zu einem Domänencontroller benötigt. Außerdem unterstützt NTLM die Verwendung lokaler Konten funktioniert im Gegensatz zu Kerberos unabhängig vom Standort des Zielservers.

NTLM-Deaktivierung in Windows 11 steht an

Kerberos ersetzt endlich NTLM!

Kostenlose Micropatches

Bis es ein Sicherheitsupdate von Microsoft gibt, will 0Patch die eigenen Micropatches für die Zero-Day-Schwachstelle kostenfrei bereitstellen. Alle veralteten Windows-Versionen wurden bereits vollständig aktualisiert, und auch die Versionen, die noch Windows-Updates erhalten, wurden aktualisiert. Nutzern, die noch kein Kunde bei 0Patch sind, empfiehlt der Anbieter, ein kostenloses Konto in 0Patch Central zu erstellen, die kostenlose Testversion zu installieren und den 0Patch Agent zu installieren. Folgend würden die aktualisierten Versionen automatisch installiert. Ein Neustart des Computers sei nicht erforderlich. Die Micropatches für Windows will 0Patch so lange kostenlos bereitstellen, bis Microsoft einen offiziellen Patch veröffentlicht.

0Patch in der Praxis

Windows 10 trotz Support-Ende bis Ende 2030 nutzen

(ID:50367541)