Microsoft Security Bulletin MS10-018 - Kritisch

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook, Microsoft Outlook Express und Windows Mail HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, in der Skript und ActiveX-Steuerelemente deaktiviert werden. Dadurch wird das Risiko beseitigt, dass diese Sicherheitsanfälligkeit von einem Angreifer verwendet werden kann, um schädlichen Code auszuführen. Klickt ein Benutzer auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
• Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dadurch wird die Sicherheitsstufe für die Internetzone auf Hoch gesetzt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ dieses Abschnitts zur Sicherheitsanfälligkeit.
• Internet Explorer 5.01 Service Pack 4 und Internet Explorer 8 sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um ActiveX-Steuerelemente und Active Scripting in diesen Zonen zu blockieren

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting blockiert wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Blockieren von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Das Blockieren von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Wenn ActiveX-Steuerelemente und Active Scripting nicht für alle diese Websites blockiert werden sollen, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone blockiert wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Wenn Internet Explorer versucht, auf ein Objekt zuzugreifen, das nicht initialisiert oder gelöscht wurde, kann der Speicher infolgedessen so beschädigt werden, dass ein Angreifer im Kontext des angemeldeten Benutzers beliebigen Code ausführen könnte.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie ein angemeldeter Benutzer erlangen. Wenn der Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Ich verwende Internet Explorer mit Windows Server 2003 bzw. Windows Server 2008. Verringert dies die Sicherheitsanfälligkeit?  
Ja. Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Siehe auch Verwaltung der verstärkten Sicherheitskonfiguration von Internet Explorer.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Internet Explorer Objekte im Speicher verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Internet Explorer 8 ist von dieser Sicherheitsanfälligkeit nicht betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Dies ist eine Sicherheitsanfälligkeit, die sich auf die Offenlegung von Informationen bezieht. Ein Angreifer, der die Sicherheitsanfälligkeit ausnutzt, wenn ein Benutzer eine Webseite anzeigt, kann potenziell vertrauliche Daten anzeigen, die sich im Speicher des Systems befinden.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Es liegt eine Sicherheitsanfälligkeit durch Offenlegung von Informationen vor, die dadurch verursacht wird, wie Internet Explorer beim Übermitteln von Daten Inhalte mit bestimmten codierten Zeichenfolgen verarbeitet.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, wenn ein Benutzer eine Webseite anzeigt, kann potenziell vertrauliche Daten anzeigen, die sich im Speicher des Systems befinden.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Was bewirkt das Update?  
Das Update ändert die Art und Weise, in der Internet Explorer Inhalte mit bestimmten codierten Zeichenfolgen verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook, Microsoft Outlook Express und Windows Mail HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, in der Skript und ActiveX-Steuerelemente deaktiviert werden. Dadurch wird das Risiko beseitigt, dass diese Sicherheitsanfälligkeit von einem Angreifer verwendet werden kann, um schädlichen Code auszuführen. Klickt ein Benutzer auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
• Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dadurch wird die Sicherheitsstufe für die Internetzone auf Hoch gesetzt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ dieses Abschnitts zur Sicherheitsanfälligkeit.
• Internet Explorer 8 ist von dieser Sicherheitsanfälligkeit nicht betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um ActiveX-Steuerelemente und Active Scripting in diesen Zonen zu blockieren

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting blockiert wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Blockieren von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Das Blockieren von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Wenn ActiveX-Steuerelemente und Active Scripting nicht für alle diese Websites blockiert werden sollen, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone blockiert wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Wenn Internet Explorer versucht, auf ein Objekt zuzugreifen, das aufgrund einer Racebedingung beschädigt sein kann, kann der Speicher infolgedessen so beschädigt werden, dass ein Angreifer im Kontext des angemeldeten Benutzers beliebigen Code ausführen könnte.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie ein angemeldeter Benutzer erlangen. Wenn der Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Ich verwende Internet Explorer mit Windows Server 2003 bzw. Windows Server 2008. Verringert dies die Sicherheitsanfälligkeit?  
Ja. Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Siehe auch Verwaltung der verstärkten Sicherheitskonfiguration von Internet Explorer.

Was bewirkt das Update?  
Das Update ändert die Art und Weise, in der Internet Explorer Objekte im Speicher verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook, Microsoft Outlook Express und Windows Mail HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, in der Skript und ActiveX-Steuerelemente deaktiviert werden. Dadurch wird das Risiko beseitigt, dass diese Sicherheitsanfälligkeit von einem Angreifer verwendet werden kann, um schädlichen Code auszuführen. Klickt ein Benutzer auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
• Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dadurch wird die Sicherheitsstufe für die Internetzone auf Hoch gesetzt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ dieses Abschnitts zur Sicherheitsanfälligkeit.
• Internet Explorer 5.01 Service Pack 4 ist nicht von dieser Sicherheitsanfälligkeit betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um ActiveX-Steuerelemente und Active Scripting in diesen Zonen zu blockieren

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting blockiert wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Blockieren von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Das Blockieren von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Wenn ActiveX-Steuerelemente und Active Scripting nicht für alle diese Websites blockiert werden sollen, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone blockiert wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Wenn Internet Explorer versucht, auf ein Objekt zuzugreifen, das nicht initialisiert oder gelöscht wurde, kann der Speicher infolgedessen so beschädigt werden, dass ein Angreifer im Kontext des angemeldeten Benutzers beliebigen Code ausführen könnte.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie ein angemeldeter Benutzer erlangen. Wenn der Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Ich verwende Internet Explorer mit Windows Server 2003 bzw. Windows Server 2008. Verringert dies die Sicherheitsanfälligkeit?  
Ja. Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Siehe auch Verwaltung der verstärkten Sicherheitskonfiguration von Internet Explorer.

Was bewirkt das Update?  
Das Update ändert die Art und Weise, in der Internet Explorer Objekte im Speicher verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook, Microsoft Outlook Express und Windows Mail HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, in der Skript und ActiveX-Steuerelemente deaktiviert werden. Dadurch wird das Risiko beseitigt, dass diese Sicherheitsanfälligkeit von einem Angreifer verwendet werden kann, um schädlichen Code auszuführen. Klickt ein Benutzer auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
• Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dadurch wird die Sicherheitsstufe für die Internetzone auf Hoch gesetzt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ dieses Abschnitts zur Sicherheitsanfälligkeit.
• Internet Explorer 7 und Internet Explorer 8 sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um ActiveX-Steuerelemente und Active Scripting in diesen Zonen zu blockieren

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting blockiert wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Blockieren von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Das Blockieren von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Wenn ActiveX-Steuerelemente und Active Scripting nicht für alle diese Websites blockiert werden sollen, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone blockiert wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Wenn Internet Explorer versucht, unter bestimmten Bedingungen auf nicht richtig initialisierten Speicher zuzugreifen, kann der Speicher in einer solchen Weise beschädigt werden, dass ein Angreifer beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie ein angemeldeter Benutzer erlangen. Wenn der Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Ich verwende Internet Explorer mit Windows Server 2003 bzw. Windows Server 2008. Verringert dies die Sicherheitsanfälligkeit?  
Ja. Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Siehe auch Verwaltung der verstärkten Sicherheitskonfiguration von Internet Explorer.

Was bewirkt das Update?  
Das Update ändert die Art und Weise, in der Internet Explorer Objekte im Speicher verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook, Microsoft Outlook Express und Windows Mail HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, in der Skript und ActiveX-Steuerelemente deaktiviert werden. Dadurch wird das Risiko beseitigt, dass diese Sicherheitsanfälligkeit von einem Angreifer verwendet werden kann, um schädlichen Code auszuführen. Klickt ein Benutzer auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
• Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dadurch wird die Sicherheitsstufe für die Internetzone auf Hoch gesetzt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ dieses Abschnitts zur Sicherheitsanfälligkeit.
• Internet Explorer 6 und Internet Explorer 7 sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Ändern der Zugriffssteuerungsliste (ACL) für mstime.dll

  Ändern Sie die ACL, um mstime.dll zu deaktivieren.

  Führen Sie unter Windows XP und Windows Server 2003 folgenden Befehl an einer administrativen Eingabeaufforderung aus:

  Echo y| cacls %WINDIR%\SYSTEM32\mstime.DLL /E /P everyone:N

  Führen Sie unter Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 folgende Befehle an einer erhöhten Eingabeaufforderung aus:

  Takeown.exe /f %WINDIR%\SYSTEM32\mstime.DLL
Icacls.exe %WINDIR%\SYSTEM32\mstime.DLL /save %TEMP%\mstime_ACL.TXT
Icacls.exe %WINDIR%\SYSTEM32\mstime.DLL /deny everyone:(F)

  Auswirkung der Problemumgehung: Funktionen wie z. B. HTML und TIME werden deaktiviert.

  So machen Sie die Problemumgehung rückgängig:

  Führen Sie unter Windows XP und Windows Server 2003 folgenden Befehl an einer administrativen Eingabeaufforderung aus:

  cacls %WINDIR%\SYSTEM32\mstime.dll /E /R everyone

  Führen Sie unter Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 folgende Befehle an einer erhöhten Eingabeaufforderung aus:

  icacls %WINDIR%\SYSTEM32\mstime.DLL /grant everyone:(F)
icacls %WINDIR%\SYSTEM32 /restore %TEMP%\mstime_ACL.TXT

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um ActiveX-Steuerelemente und Active Scripting in diesen Zonen zu blockieren

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting blockiert wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Blockieren von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Das Blockieren von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Wenn ActiveX-Steuerelemente und Active Scripting nicht für alle diese Websites blockiert werden sollen, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone blockiert wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Wenn Internet Explorer versucht, unter bestimmten Bedingungen auf nicht richtig initialisierten Speicher zuzugreifen, kann der Speicher in einer solchen Weise beschädigt werden, dass ein Angreifer beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie ein angemeldeter Benutzer erlangen. Wenn der Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Ich verwende Internet Explorer mit Windows Server 2003 bzw. Windows Server 2008. Verringert dies die Sicherheitsanfälligkeit?  
Ja. Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Siehe auch Verwaltung der verstärkten Sicherheitskonfiguration von Internet Explorer.

Was bewirkt das Update?  
Das Update ändert die Art und Weise, in der Internet Explorer Objekte im Speicher verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook, Microsoft Outlook Express und Windows Mail HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, in der Skript und ActiveX-Steuerelemente deaktiviert werden. Dadurch wird das Risiko beseitigt, dass diese Sicherheitsanfälligkeit von einem Angreifer verwendet werden kann, um schädlichen Code auszuführen. Klickt ein Benutzer auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
• Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dadurch wird die Sicherheitsstufe für die Internetzone auf Hoch gesetzt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ dieses Abschnitts zur Sicherheitsanfälligkeit.
• Internet Explorer 5.01 Service Pack 4 ist nicht von dieser Sicherheitsanfälligkeit betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um ActiveX-Steuerelemente und Active Scripting in diesen Zonen zu blockieren

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting blockiert wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Blockieren von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Das Blockieren von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Wenn ActiveX-Steuerelemente und Active Scripting nicht für alle diese Websites blockiert werden sollen, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone blockiert wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Dies ist eine Sicherheitsanfälligkeit, die sich auf die Offenlegung von Informationen bezieht. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des Benutzers in einer anderen Internet Explorer-Domäne Skript ausführen. Zum Ausnutzen dieser Sicherheitsanfälligkeit sind jedoch Benutzereingriffe erforderlich.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Internet Explorer interpretiert den Ursprung des Skripts falsch, sodass es im Kontext einer anderen Domäne oder Internet Explorer-Sicherheitszone als der ursprünglichen ausgeführt werden kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des Benutzers in einer anderen Internet Explorer-Domäne Skript ausführen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Ich verwende Internet Explorer mit Windows Server 2003 bzw. Windows Server 2008. Verringert dies die Sicherheitsanfälligkeit?  
Ja. Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Siehe auch Verwaltung der verstärkten Sicherheitskonfiguration von Internet Explorer.

Was bewirkt das Update?  
Das Update erzwingt Sicherheitsprüfungen, wenn der Ursprung des Skripts überprüft wird.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook, Microsoft Outlook Express und Windows Mail HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, in der Skript und ActiveX-Steuerelemente deaktiviert werden. Dadurch wird das Risiko beseitigt, dass diese Sicherheitsanfälligkeit von einem Angreifer verwendet werden kann, um schädlichen Code auszuführen. Klickt ein Benutzer auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
• Internet Explorer 7 und Internet Explorer 8 sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Unterbinden Sie die Ausführung von COM-Objekten in Internet Explorer

  Sie können Versuche, eine Instanz eines COM-Objekts in Internet Explorer zu erstellen, unterbinden, indem Sie das Kill Bit für das Steuerelement in der Registrierung setzen.

  Warnung: Eine fehlerhafte Verwendung des Registrierungs-Editors kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft übernimmt keine Garantie dafür, dass Sie Probleme lösen können, die auf das fehlerhafte Verwenden des Registrierungs-Editors zurückzuführen sind. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko.

  Genaue Informationen dazu, wie Sie verhindern können, dass ein Steuerelement in Internet Explorer ausgeführt wird, finden Sie im Microsoft Knowledge Base-Artikel 240797. Befolgen Sie die Schritte in diesem Artikel, um einen Wert für Kompatibilitätskennzeichen in der Registrierung zu erstellen. Dadurch wird verhindert, dass eine Instanz des COM-Objekts in Internet Explorer erstellt wird.

  Um das Kill Bit für eine CLSID mit dem Wert {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} zu setzen, fügen Sie den folgenden Text in einen Texteditor (wie z. B. Editor) ein. Speichern dann Sie die Datei mit der Dateinamenerweiterung .reg.

  Windows Registrierungs-Editor Version 5.00
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{333C7BC4-460F-11D0-BC04-0080C7055A83}]
  "Compatibility Flags"=dword:00000400

  Diese Registrierungsdatei kann auf die einzelnen Systeme angewendet werden, indem Sie darauf doppelklicken. Sie kann zudem mithilfe von Gruppenrichtlinien domänenübergreifend installiert werden. Weitere Informationen zu Gruppenrichtlinien finden Sie auf den folgenden Websites:

  • Gruppenrichtliniensammlung
  • Was ist der Gruppenrichtlinienobjekt-Editor?
  • Wichtigste Gruppenrichtlinientools und -einstellungen

  Hinweis Sie müssen Internet Explorer neu starten, damit diese Änderungen wirksam werden.

  Auswirkung der Problemumgehung: Keine Auswirkung, sofern das Objekt nicht in Internet Explorer eingesetzt werden soll.

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um ActiveX-Steuerelemente und Active Scripting in diesen Zonen zu blockieren

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting blockiert wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Blockieren von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Das Blockieren von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Wenn ActiveX-Steuerelemente und Active Scripting nicht für alle diese Websites blockiert werden sollen, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone blockiert wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Ein ActiveX-Steuerelement in Internet Explorer verwaltet in bestimmten Situationen eine lange URL falsch. Infolgedessen kann der Speicher so beschädigt werden, dass ein Angreifer im Kontext des angemeldeten Benutzers beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie ein angemeldeter Benutzer erlangen. Wenn der Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Was bewirkt das Update?  
Das Update ändert die Art und Weise, in der das ActiveX-Steuerelement in Internet Explorer lange URLs verwaltet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook, Microsoft Outlook Express und Windows Mail HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites, in der Skript und ActiveX-Steuerelemente deaktiviert werden. Dadurch wird das Risiko beseitigt, dass diese Sicherheitsanfälligkeit von einem Angreifer verwendet werden kann, um schädlichen Code auszuführen. Klickt ein Benutzer auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
• Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dadurch wird die Sicherheitsstufe für die Internetzone auf Hoch gesetzt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ dieses Abschnitts zur Sicherheitsanfälligkeit.
• Internet Explorer 5.01 Service Pack 4 und Internet Explorer 8 sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Deaktivieren der Peer Factory-Klasse durch Bearbeiten des Registrierungsschlüssels für iepeers.dll

  Erstellen Sie zuerst eine Sicherungskopie der Registrierungsschlüssel, indem Sie an einer erhöhten Eingabeaufforderung den folgenden Befehl ausführen:

  Regedit.exe /e Disable_Peer_Factory_backup.reg HKEY_CLASSES_ROOT\CLSID\{3050F4CF-98B5-11CF-BB82-00AA00BDCE0B}

  Nur unter Windows Vista und Windows Server 2008 müssen Sie zuerst folgendermaßen die Eigentümerschaft von [HKEY_CLASSES_ROOT\CLSID\{3050F4CF-98B5-11CF-BB82-00AA00BDCE0B}] übernehmen:

  1. Klicken Sie als Administrator auf Start und auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK
  2. Gehen Sie zu [HKEY_CLASSES_ROOT\CLSID\{3050F4CF-98B5-11CF-BB82-00AA00BDCE0B}]
  3. Klicken Sie auf Berechtigung, Erweitert, Besitzer
  4. Ändern Sie Besitzer in Administrator
  5. Klicken Sie auf die entsprechende Option,um dem Administrator vollständige Kontrolle zu gewähren
  6. Wiederholen Sie die Schritte 3 bis 5 für alle Unterschlüssel

  Speichern Sie anschließend Folgendes in einer Datei mit der Erweiterung .REG, z. B. Disable_Peer_Factory.reg:

  Windows Registrierungs-Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{3050F4CF-98B5-11CF-BB82-00AA00BDCE0B}]

  Führen Sie Disable_Peer_Factory.reg mit dem folgenden Befehl an einer erhöhten Eingabeaufforderung aus:

  Regedit.exe /s Disable_Peer_Factory.reg

  Auswirkung der Problemumgehung: Es können Funktionen betroffen sein, die von Peer Factory abhängen, wie z. B. das Drucken und Webordner.

  So machen Sie die Problemumgehung rückgängig:

  Stellen Sie den ursprünglichen Zustand wieder her, indem Sie an einer erhöhten Eingabeaufforderung folgenden Befehl ausführen:

  Regedit.exe /s Disable_Peer_Factory_backup.reg

• Ändern Sie die Zugriffssteuerungsliste (ACL) für iepeers.dll

  Um die ACL für iepeers.dll zu beschränken, führen Sie an einer Eingabeaufforderung die folgenden Befehle mit Administratorrechten aus:

  Für 32-Bit-Windows-Systeme:

  Echo y| cacls %WINDIR%\SYSTEM32\iepeers.DLL /E /P everyone:N

  Für x64-basierte Windows-Systeme:

  Echo y| cacls %WINDIR%\SYSWOW64\iepeers.DLL /E /P everyone:N

  Auswirkung der Problemumgehung: Es können erweiterte MSHTML-Funktionen, wie z. B. das Drucken und Webordner, betroffen sein.

  So machen Sie die Problemumgehung rückgängig:

  Führen Sie an einer Eingabeaufforderung die folgenden Befehle mit Administratorrechten aus:

  Für 32-Bit-Windows-Systeme:

  cacls %WINDIR%\SYSTEM32\iepeers.dll /E /R everyone

  Für x64-basierte Windows-Systeme:

  cacls %WINDIR%\SYSWOW64\iepeers.dll /E /R everyone

• Aktivieren Sie Datenausführungsverhinderung (DEP) für Internet Explorer 7

  Lokale Administratoren können DEP/NX steuern, indem sie Internet Explorer als Administrator ausführen. Führen Sie folgende Schritte aus, um DEP zu aktivieren:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf Erweitert.
  2. Klicken Sie auf Speicherschutz aktivieren, um das Risiko von Online-Angriffen zu verringern.

  Auswirkung der Problemumgehung: Unter Umständen sind einige Browsererweiterungen nicht mit DEP kompatibel und werden unerwartet beendet. Wenn dies eintritt, können Sie das Add-On deaktivieren oder mit der Internetsystemsteuerung die DEP-Einstellung wieder umkehren. Diese ist auch über die Systemsteuerung zugänglich.

  So machen Sie die Problemumgehung rückgängig:

  Verwenden Sie die Internetsystemsteuerung oder die Systemsteuerung.

• Aktivieren Sie DEP für Internet Explorer 7 mithilfe der automatisierten Microsoft Fix it-Lösung

  Im Microsoft Knowledge Base-Artikel 980182 finden Sie Informationen zur Aktivierung und Deaktivierung dieser Problemumgehung mithilfe der automatisierten Microsoft Fix it-Lösung.

  Auswirkung der Problemumgehung: Unter Umständen sind einige Browsererweiterungen nicht mit DEP kompatibel und werden unerwartet beendet. Wenn dies eintritt, können Sie das Add-On deaktivieren oder die DEP-Einstellung mit der automatisierten Microsoft Fix it-Lösung wieder herstellen, um die Problemumgehung zu deaktivieren.

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um ActiveX-Steuerelemente und Active Scripting in diesen Zonen zu blockieren

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting blockiert wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Blockieren von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Das Blockieren von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Wenn ActiveX-Steuerelemente und Active Scripting nicht für alle diese Websites blockiert werden sollen, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass die Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone blockiert wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Wenn Internet Explorer versucht, auf ein Objekt zuzugreifen, das nicht initialisiert oder gelöscht wurde, kann der Speicher infolgedessen so beschädigt werden, dass ein Angreifer im Kontext des angemeldeten Benutzers beliebigen Code ausführen könnte.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie ein angemeldeter Benutzer erlangen. Wenn der Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Ich verwende Internet Explorer mit Windows Server 2003 bzw. Windows Server 2008. Verringert dies die Sicherheitsanfälligkeit?  
Ja. Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Siehe auch Verwaltung der verstärkten Sicherheitskonfiguration von Internet Explorer.

Was bewirkt das Update?  
Das Update ändert die Art und Weise, in der Internet Explorer Objekte im Speicher verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Ja. Diese Sicherheitsanfälligkeit wurde veröffentlicht. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit CVE-2010-0806 zugewiesen. Außerdem wurde sie in der Microsoft-Sicherheitsempfehlung 981374 beschrieben.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Ja. Microsoft ist sich Angriffen bewusst, bei denen versucht wird, die Sicherheitsanfälligkeit auszunutzen.

Wenn ich die in der Sicherheitsempfehlung 981374 bereitgestellten Problemumgehungen installiert habe, muss ich diese rückgängig machen, bevor ich dieses Update installiere?  
Wenn Sie die in der Microsoft-Sicherheitsempfehlung 981374 bereitgestellten Problemumgehungen installiert haben, müssen Sie sie rückgängig machen, indem Sie die Anweisungen zum Rückgängigmachen der Problemumgehung im Unterabschnitt „Problemumgehungen für die Sicherheitsanfälligkeit durch Speicherbeschädigung aufgrund von Nichtinitialisierung – CVE-2010-0806“ rückgängig machen. Wenn die Problemumgehungen „iepeers.dll“ oder DEP mit der in der Microsoft-Sicherheitsempfehlung 981374 bereitgestellten Funktion „Diese Problemumgehung aktivieren“ installiert wurden, können Sie die Problemumgehung rückgängig machen, indem Sie die Option „Diese Problembehebung deaktivieren“ für diese Problemumgehungen in Microsoft Knowledge Base-Artikel 980182 auswählen.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Internet Explorer 5.01 Service Pack 4, Internet Explorer 6, Internet Explorer 6 Service Pack 1 und Internet Explorer 8 sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• ActiveX-Steuerelemente in Office 2007 aktivieren bzw. deaktivieren

  Um die Möglichkeit zu verringern, dass diese Sicherheitsanfälligkeit durch ein Office 2007-Dokument mit einem ActiveX-Steuerelement ausgenutzt wird, befolgen Sie die unten aufgeführten Schritte, um ActiveX-Steuerelemente in Office-Dokumenten zu deaktivieren. Weitere Informationen zum Deaktivieren von ActiveX-Steuerelementen in Office 2007 finden Sie im Microsoft Office Online-Artikel ActiveX-Steuerelemente in Office-Dokumenten aktivieren bzw. deaktivieren.

  Öffnen Sie mit einer der folgenden Methoden das Vertrauensstellungscenter in Office 2007-Anwendungen. Nachdem Sie die ActiveX-Einstellungen ausgewählt haben, wählen Sie Alle Steuerelemente ohne Benachrichtigung deaktivieren aus, und klicken Sie dann auf OK.

  Hinweis: Wenn Sie eine ActiveX-Steuerelementeinstellung in einer Office-Anwendung ändern, wird die Einstellung auch in allen anderen Office-Programmen auf Ihrem Computer geändert.

  Excel

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Excel-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Outlook

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  PowerPoint

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie PowerPoint-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Word

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Word-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Access

  Klicken Sie auf die Schaltfläche Microsoft Office, wählen Sie Access-Optionen aus, dann Vertrauensstellungscenter, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  InfoPath

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Publisher

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Visio

  Wählen Sie im Menü ExtrasVertrauensstellungscenter aus, danach Einstellungen für das Vertrauensstellungscenter und schließlich ActiveX-Einstellungen.

  Auswirkung der Problemumgehung: ActiveX-Steuerelemente werden in Microsoft Office-Anwendungen nicht instanziiert.

• Öffnen Sie keine unerwarteten Dateien

  Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Wenn Internet Explorer versucht, auf ein gelöschtes Objekt zuzugreifen, kann der Speicher infolgedessen so beschädigt werden, dass ein Angreifer im Kontext des angemeldeten Benutzers beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie ein angemeldeter Benutzer erlangen. Wenn der Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Ein Angreifer kann auch ein als „initialisierungssicher“ gekennzeichnetes ActiveX-Steuerelement in eine Anwendung oder ein Microsoft Office-Dokument einbetten, die das Grafikwiedergabemodul von Internet Explorer hosten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder einer Instant Messenger-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder durch Öffnen einer Dateianlage, die per E-Mail gesendet wurde.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Diese Sicherheitsanfälligkeit setzt voraus, dass der Benutzer angemeldet ist und eine Website besucht, damit eine Schaden verursachende Aktion erfolgen kann. Für Systeme, auf denen Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko.

Was bewirkt das Update?  
Das Update ändert die Art und Weise, in der Internet Explorer Objekte im Speicher verarbeitet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Hinweis Für unterstützte Versionen von Windows XP Professional x64 Edition ist dieses Sicherheitsupdate identisch mit unterstützten Versionen des Sicherheitsupdates für Windows Server 2003 x64 Edition.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.