Bundesamt für Sicherheit in der Informationstechnik

G 5.132 Kompromittierung von RDP-Benutzersitzungen ab Windows Server 2003

Die Remotedesktop-Freigabe auf Basis des Remote Desktop Protocol (RDP) ist ein effektives und verbreitetes Mittel zur Fernwartung eines Windows-Servers und zur Nutzung von Programmen auf entfernten Computern (Remotedesktop). Der Verbindungsaufbau von einem Client zum RDP-Server findet ohne vorherige Authentisierung des Benutzers statt. Der komplette Anmeldebildschirm des Remotedesktops wird unmittelbar auf den Bildschirm des lokalen Clients gespiegelt. Es besteht die Gefahr, dass auch ein Angreifer durch die Windows-RDP-Anmeldung Remote-Zugriff auf das System erlangen kann.

Informationen zur Betriebssystemversion und zur Domänenmitgliedschaft des Windows-Servers liegen für jeden Remotedesktop-Benutzer ohne Eingabe von Benutzernamen und Kennwort offen. Weitere Informationen könnten über Hintergrundbilder preisgegeben werden. Häufig blenden Administratoren Verwaltungsinformationen als Hintergrundbild ein oder der Serverhersteller hat bei vorinstallierten Betriebssystemen ein herstellerspezifisches Hintergrundbild vorgegeben. Darüber können verwertbare Informationen erlangt werden, um das System zu analysieren und entsprechende Sicherheitslücken auszunutzen.

Im Falle einer Unterbrechung der Netzverbindung während einer RDP-Sitzung stellt Windows Server 2003 die Sitzung automatisch ohne erneute Anmeldung wieder her, sobald der Client die Netzverbindung zum Server wieder aufgenommen hat. Zeiträume bis in den Minutenbereich können überbrückt werden. Die erhöhte Fehlertoleranz wird mit der Gefährdung der Integrität einer RDP-Sitzung erkauft. Ein Angreifer kann durch Social Engineerung oder durch Abfangen der Verbindung Remote-Zugriff auf das System bekommen. Eine Verbindung mit RDP Version 5.2 von Windows Server 2003 kann durch Dritte leicht abgefangen und unbemerkt umgeleitet werden. Seit Windows Server 2003 mit Service Pack 1 gibt es zwar eine Absicherung mittels SSL, aber viele Clients können dann keine Verbindung mehr herstellen, zum Beispiel Remotedesktop-Clients früherer Windows-Versionen und RDesktop für Unix/Linux. Daher kann die Absicherung mit SSL meist nicht flächendeckend eingesetzt werden und es besteht weiterhin die Gefahr, dass die Verbindung abgefangen und unerlaubter Zugriff auf das System ausgeübt wird.

Aufgrund der beschriebenen Gefahren ist von einer erhöhten Gefährdung des Servers auszugehen, sobald RDP verwendet wird.

  • Ein amerikanischer Hersteller lieferte Server mit vorinstallierten OEM-Versionen von Windows Server 2003 an seine Kunden aus. Beim Anmelden am Betriebssystem via Konsole oder Remotedesktop erschien ein Hintergrundbild mit Logo des Herstellers und einem Foto der Server-Hardware. Dadurch konnten Schwachstellen über das System ermittelt und für Angriffe genutzt werden.
  • Während einer Netzunterbrechung verlässt der Administrator kurz den Verwaltungs-PC, auf dem eine RDP-Sitzung läuft. Ist er nicht rechtzeitig wieder vor Ort und ist kein Bildschirmschoner mit Kennwortschutz aktiv, könnte ein Dritter die RDP-Sitzung weiterverwenden, sobald die Netzunterbrechung beseitigt worden ist. Er hätte die vollen Berechtigungen des Administrators und könnte versehentlich oder vorsätzlich großen Schaden verursachen.

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK