Für die kritische Sicherheitslücke CVE-2025-53770 mit dem Spitznamen „Toolshell“ gibt es nun weitere Patches. Microsoft veröffentlichte eine Aktualisierung für SharePoint Enterprise Server 2016 sowie für die englischen Sprachpacks dieser und der 2019er-Edition. Damit sind alle aktuell unterstützten SharePoint-Versionen geflickt – was bitter nötig war: Groß angelegte Angriffskampagnen laufen bereits seit Tagen.

Das Microsoft Security Response Center (MSRC) pflegt einen ausführlichen Überblicksartikel zur Toolshell-Lücke und kündigte dort am Montag die Sicherheitsaktualisierungen an. Die folgenden Updates sind jetzt über Microsoft Update, den Microsoft Update-Katalog oder das Microsoft Download Center erhältlich.

Der Satz gerinnt beinahe zur Floskel, dennoch: Administratoren von „on-premises“, also im Unternehmen betriebenen SharePoint-Servern sollten die Aktualisierungen zügig einspielen. Angriffskampagnen laufen bereits und Berichten zufolge sind über 100 Organisationen kompromittiert.

Schlüssel rotieren, Server im Auge behalten

Doch mit dem Update ist es nicht getan, denn der SharePoint-Server könnte bereits erfolgreich von Angreifern übernommen worden sein. Daher drängt Microsoft auf zusätzliche Maßnahmen:

1. Der Antimalware-Scan (AMSI) in SharePoint sollte angeschaltet und, wenn möglich, der „Full Mode“ zur vollständigen Überprüfung von HTTP-Anfragen aktiviert sein.
2. Microsoft Defender vor Endpoint und Microsoft Defender Antivirus helfen mit spezialisierten Signaturen wie „Exploit:Script/SuspSignoutReq.A“ ebenfalls bei der Erkennung und Beseitigung.
3. Die „Machine Keys“ sollten unbedingt ausgetauscht werden – ansonsten können Angreifer womöglich dauerhaft ihren Schadcode auf dem SharePoint-Server ausführen. Microsoft hat dafür zusätzliche Tipps in seinem Sicherheitshinweis veröffentlicht.

Eine umfangreiche Liste mit „Indicators of Compromise“, also Hinweisen auf einen erfolgreichen Angriff, pflegt das Sicherheitsunternehmen Eye Security in seinem Blogartikel zu der Toolshell-Lücke. So sollten Systemverwalter nicht nur verdächtige Dateinamen, sondern auch bestimmte HTTP-Anfragen (wie etwa POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx)und -User-Agents im Auge behalten. Der Sicherheitsforscher Florian Roth weist zudem darauf hin, dass diese Indikatoren sich bei der nächsten Angriffswelle ändern könnten.

Ältere Lücken nicht vollständig gepatcht

Die Sicherheitslücke „Toolshell“ ist eine Variante zweier kurz zuvor gepatchter Lücken aus dem Sicherheitswettbewerb „Pwn2Own“, der dieses Jahr in Berlin stattfand. Microsoft gibt in den FAQ zu CVE-2025-53770 zu, bei der Behebung dieser Lücken (CVE-2025-49704 und CVE-2025-49706) nicht gründlich genug gearbeitet zu haben: „Ja, das Update [für die neuere der Lücken] enthält robustere Schutzmaßnahmen als das Update für [die jeweils ältere Lücke]“, heißt es beim MSRC.

(cku)

Noch bevor Microsoft die ersten Patches für die schwere Sicherheitslücke „ToolShell“ in selbst gehosteten Versionen von Sharepoint veröffentlicht hat, sind die Installationen von etwa 100 Organisationen kompromittiert worden. Das berichtet die Nachrichtenagentur Reuters unter Berufung auf das Sicherheitsunternehmen Eye Security, das die Lücke publik gemacht hat und die Angriffe darauf analysiert. Derweil ergänzt die Washington Post unter Berufung auf Googles Sicherheitsabteilung Mandiant, dass mindestens einer der Akteure, die für die erste Angriffswelle verantwortlich waren, nach China zurückverfolgt worden sei. Die meisten kompromittierten Installationen haben sich einer dieser ersten Analysen zufolge in den USA und Deutschland befunden.

Das Vorhandensein der kritischen Sicherheitslücke in den on-premise-Versionen von Sharepoint wurde am Wochenende von Microsoft publik gemacht. Schon da erklärte der US-Konzern, dass man von Angriffen auf die verwundbaren Server wisse, einen Patch gab es anfangs aber nicht. Microsoft erklärte lediglich, dass man sich mit „Microsoft Defender Antivirus“ schützen solle. Später waren für zwei Sharepoint-Versionen die ersten Updates verfügbar gemacht worden, deren Installation alleine reicht aber nicht für eine Absicherung. Microsoft weist ausdrücklich darauf hin, dass nach dem Update in jedem Fall die ASP.Net „Machine Keys“ rotiert werden müssen, was mit einem IIS-Neustart einhergeht.

Während Microsoft, die Verantwortlichen der Sharepoint-Installationen und die IT-Sicherheitsbranche weiter mit der Absicherung beschäftigt sind, läuft die Suche nach denjenigen, die sich die Lücke zunutze gemacht haben. TechCrunch zitiert einen IT-Sicherheitsexperten, der beobachtet hat, dass sich die ersten Angriffe gegen eine vergleichsweise kleine Zahl von Zielen gerichtet haben. Nach dem Bekanntwerden der Lücke dürften sich längst viel mehr an den Angriffsversuchen beteiligen. Mehrfach war die Rede von etwa 9000 bis 10.000 verwundbaren Sharepoint-Instanzen vor der Verfügbarkeit der Patches. Zu den ersten Opfern gehörte ein großes Energieunternehmen und mehrere Regierungseinrichtungen in Europa, zitiert die Washington Post noch Erkenntnisse von Eye Security.

(mho)

Seit rund einem Jahrzehnt stellt Microsoft die Azure-basierte Cloud-Infrastruktur des US-Verteidigungsministeriums (Department of Defense, DoD) bereit. Eine Recherche der US-Organisation ProPublica enthüllte nun, dass der Konzern dabei wohl grob fahrlässig mit hochsensiblen Regierungsdaten umging: Die Betreuung der Infrastruktur überließ er auch Technikern aus Nicht-US-Ländern – unter anderem aus China. Kontrolliert wurde deren Arbeit offenbar nur oberflächlich aus der Ferne – von sogenannten „Digital Escorts“, US-Bürgern mit entsprechender Sicherheitsfreigabe.

Akute Gefahr gebannt…

Ob dabei Daten ausspioniert wurden oder Schäden etwa durch eingeschleusten Schadcode entstanden, ist bisher nicht bekannt. Unklar bleibt auch die Dimension der Vorgänge, also etwa die Anzahl der involvierten chinesischen IT-Fachkräfte.

ProPublicas Rechercheergebnisse wurden am vergangenen Freitag zunächst von einem Microsoft-Sprecher indirekt bestätigt: Auf X versicherte Frank X. Shaw, dass der Konzern die Beteiligung chinesischer Entwickler an der Betreuung der DoD-Regierungscloud und „verwandter Services“ gestoppt habe. Als Grund für den Stopp nannte er „Bedenken“, die bezüglich der Beteiligung ausländischer ITler aufgekommen seien.

Eine weitere Bestätigung in deutlich drastischeren Worten folgte kurz darauf von US-Verteidigungsminister Pete Hegseth auf X. Er sprach von „billiger chinesischer Arbeit“ („cheap chinese labour“), deren Inanspruchnahme „offensichtlich inakzeptabel“ sei und die eine potenzielle Schwachstelle in den DoD-Computersystemen darstelle. Ab sofort sei China nicht mehr am Betrieb der DoD-Cloud beteiligt, zudem sei eine Untersuchung eingeleitet worden.

Ganz nebenbei machte Hegseth in seiner kurzen Ansprache die Obama-Regierung mitverantwortlich, da diese den ursprünglichen Cloud-Deal ausgehandelt habe. Microsoft wiederum nannte er nicht namentlich; stattdessen sprach er allgemeiner von „einigen Tech-Firmen“. Laut ProPublica ist indes nicht bekannt, ob auch andere für die US-Regierung tätige Cloud-Provider wie Amazon Web Services oder Google Cloud ebenfalls auf Digital Escorts setzen. Auf Anfrage hätten diese sich nicht äußern wollen.

… Grundproblem verkannt

Daraus ergibt sich die Frage, wie es überhaupt zu solch groben Security-Schnitzern kommen kann. Denn eigentlich macht das Federal Risk and Authorization Management Program (kurz FedRAMP) konkrete Vorgaben. Unter anderem besagt es, dass eingesetzte Server nicht nur von qualifiziertem Personal administriert und gewartet werden müssen. Dieses muss auch über eine Sicherheitsfreigabe verfügen, um sicherzustellen, dass verarbeitete, potenziell sensible Daten nicht in falsche Hände geraten. Diese Clearance ist auf US-Bürger begrenzt.

Um die lukrativen Staatsprojekte trotz mangelndem FedRAMP-kompatiblem Personal zu bekommen, hat Microsoft diese Vorgaben offenbar kreativ uminterpretiert: Ausländische IT-Worker übernahmen die eigentliche Arbeit, während „DoD Secret Cleared Escorts“ aus der Ferne die Freigabe übernahmen. Der Workflow laut ProPublica: Der verantwortliche Techniker erklärt grob, welche Arbeiten ausgeführt werden müssen – etwa ein Firewall-Update oder ein Bugfix. Und der Escort als ausführende Instanz übernimmt die vorgegebenen Befehle per Copy & Paste. Er soll diese dabei zwar auch kontrollieren – aber das dürfte in vielen Fällen seine technische Fähigkeiten weit übersteigen, erklärt ProPublica.

Dass Escorts technisch nicht sehr versiert sein müssen, zeigt beispielhaft eine Jobanzeige für einen „DoD Secret Cleared Escort“: „Nachgewiesene Kenntnisse in der Verwaltung von Windows-Servern, Domänenservern, unterstützenden Desktops, Desktop-Anwendungen und Active Directory“ sind dort lediglich als verzichtbare „Nice to Have „-Fähigkeiten aufgeführt. Die verantwortlichen ausländischen Techniker seien ihren Digital Escorts in Sachen fachlicher Expertise oft haushoch überlegen; in der Praxis seien das etwa ausgemusterte Militärs mit Security-Freigabe aber ohne besondere technische Expertise zu Minimallöhnen. „Wir vertrauen darauf, dass das, was sie tun, nicht bösartig ist, aber wir können es nicht mit Sicherheit sagen“, zitiert die Plattform einen von ihr befragten Escort.

Knackpunkt China

Bislang ist nicht klar, wie viele solcher Tandems aus Escort und ausländischen Technikern Microsoft beschäftigt und aus welchen Ländern diese stammen. Auch ist unklar, wie hoch der Anteil der chinesischen IT-Arbeiter daran ist; nicht einmal eine Größenordnung ist bekannt. Nur an denen hat sich die Diskussion jedoch jetzt entzündet und nur die Chinesen wollen Hegseth und Shaw offenbar ausmustern. In einem offenen Brief an das US-Verteidigungsministerium hat US-Senator Tom Cotton jetzt konkretere Informationen zum konkreten Umfang dieses Problems angefordert. Ob diese geliefert und dann auch öffentlich werden, steht auf einem anderen Blatt.

(ovw)