Active Directory Federation Services

Betroffen sind die Active Directory Federation Services (AD FS) von Microsoft, ein Dienst, der Anmeldungen und Identitätsinformationen zwischen Systemen und Anwendungen vermittelt. Die Zugriffskontrolle des Dienstes unterscheidet nicht fein genug zwischen verschiedenen Berechtigungsstufen. Dadurch kann ein Angreifer, der bereits über gültige Zugangsdaten und einen lokalen Zugriff auf das System verfügt, diese unzureichende Abgrenzung ausnutzen und seine eigenen Rechte ausweiten. Er erhält damit Befugnisse, die ihm eigentlich nicht zustehen. Da AD FS eine zentrale Rolle bei der Authentifizierung und der Ausstellung von Anmeldeinformationen spielt, wirkt sich eine solche Rechteausweitung nicht nur auf den einzelnen Server aus, sondern kann auch die daran angebundenen Dienste und Vertrauensbeziehungen betreffen. Ein reiner Angriff aus dem Internet ohne vorhandenes Konto ist hingegen nicht möglich – Voraussetzung ist ein bereits bestehender, autorisierter Zugang.