Microsoft Security Bulletin MS12-073 - Mittel
Sicherheitsanfälligkeiten in den Microsoft Internetinformationsdiensten (IIS) können Offenlegung von Information ermöglichen (2733829)
Veröffentlicht: | Aktualisiert:
Version: 2.1
Allgemeine Informationen
Kurzzusammenfassung
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit und eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Internet Information Services (IIS). Die schwerwiegendere Sicherheitsanfälligkeit kann Offenlegung von Information ermöglichen, wenn ein Angreifer speziell gestaltete FTP-Befehle an den Server sendet.
Dieses Sicherheitsupdate wird für IIS 7.0 unter allen unterstützten Editionen von Windows Vista und Windows Server 2008 als Mittel eingestuft, ebenso wie für IIS 7.5 unter allen unterstützten Editionen von Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2. Weitere Informationen finden Sie im Unterabschnitt Betroffene und nicht betroffene Software in diesem Abschnitt.
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem geändert wird, wie IIS die Berechtigungen einer Protokolldatei verwaltet und indem geändert wird, wie IIS speziell gestaltete FTP-Befehle verarbeitet. Weitere Informationen zu den Sicherheitsanfälligkeiten finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ für den bestimmten Sicherheitsanfälligkeitseintrag im nächsten Abschnitt Informationen zu Sicherheitsanfälligkeiten.
Empfehlung. Die Mehrheit der Benutzer hat die automatische Aktualisierung aktiviert und muss keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871.
Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, das Update mit Updateverwaltungssoftware zu installieren bzw. mithilfe des Dienstes Microsoft Update auf Updates zu prüfen.
Siehe auch den Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung weiter unten in diesem Bulletin.
Bekannte Probleme. Keine
Betroffene und nicht betroffene Software
Folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen haben entweder das Ende des Lebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder Edition zu ermitteln.
Betroffene Software
| Betriebssystem | Komponente | Maximale Sicherheitsauswirkung | Bewertung des Gesamtschweregrads | Ersetzte Updates |
|---|---|---|---|---|
| Windows Vista | ||||
| Windows Vista Service Pack 2 | Microsoft-FTP-Dienst 7.0 für IIS 7.0[1] (KB2716513) Microsoft-FTP-Dienst 7.5 für IIS 7.0[1] (KB2716513) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt |
| Windows Vista x64 Edition Service Pack 2 | Microsoft-FTP-Dienst 7.0 für IIS 7.0[1] (KB2716513) Microsoft-FTP-Dienst 7.5 für IIS 7.0[1] (KB2716513) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt |
| Windows Server 2008 | ||||
| Windows Server 2008 für 32-Bit-Systeme Service Pack 2 | Microsoft-FTP-Dienst 7.0 für IIS 7.0[1] (KB2716513) Microsoft-FTP-Dienst 7.5 für IIS 7.0[1] (KB2716513) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt |
| Windows Server 2008 für x64-basierte Systeme Service Pack 2 | Microsoft-FTP-Dienst 7.0 für IIS 7.0[1] (KB2716513) Microsoft-FTP-Dienst 7.5 für IIS 7.0[1] (KB2716513) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt |
| Windows 7 | ||||
| Windows 7 für 32-Bit-Systeme | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Windows 7 für 32-Bit-Systeme Service Pack 1 | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Windows 7 für x64-basierte Systeme | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Windows 7 für x64-basierte Systeme Service Pack 1 | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Windows 2008 R2 | ||||
| Windows Server 2008 R2 für x64-basierte Systeme | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Windows Server 2008 R2 für Itanium-basierte Systeme | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Windows Server 2008 R2 für Itanium-basierte Systeme Service Pack 1 | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Server Core-Installationsoption | ||||
| Windows Server 2008 für 32-Bit-Systeme Service Pack 2 (Server Core-Installation) | Microsoft-FTP-Dienst 7.0 für IIS 7.0[1] (KB2716513) Microsoft-FTP-Dienst 7.5 für IIS 7.0[1] (KB2716513) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt |
| Windows Server 2008 für x64-basierte Systeme Service Pack 2 (Server Core-Installation) | Microsoft-FTP-Dienst 7.0 für IIS 7.0[1] (KB2716513) Microsoft-FTP-Dienst 7.5 für IIS 7.0[1] (KB2716513) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt |
| Windows Server 2008 R2 für x64-basierte Systeme (Server Core-Installation) | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
| Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (Server Core-Installation) | Microsoft-FTP-Dienst 7.5 für IIS 7.5 (KB2716513) Internetinformationsdienste 7.5 (KB2719033) | Offenlegung von Informationen | Mittel | KB2489256 in MS11-004 wird durch KB2716513 ersetzt Keine Bulletins, die durch KB2719033 ersetzt werden |
[1]Nicht der standardmäßige FTP-Dienst für dieses Betriebssystem.
Nicht betroffene Software
| Betriebssystem | Komponente |
| Microsoft Windows XP Service Pack 3 | Microsoft-FTP-Dienst 5.1 für IIS 5.1 Internetinformationsdienste 5.1 |
| Microsoft Windows XP Professional x64 Edition Service Pack 2 | Microsoft-FTP-Dienst 5.1 für IIS 6.0 Internetinformationsdienste 6.0 |
| Microsoft Windows Server 2003 Service Pack 2 | Microsoft-FTP-Dienst 6.0 für IIS 6.0 Internetinformationsdienste 6.0 |
| Microsoft Windows Server 2003 x64 Edition Service Pack 2 | Microsoft-FTP-Dienst 6.0 für IIS 6.0 Internetinformationsdienste 6.0 |
| Microsoft Windows Server 2003 für Itanium-basierte Systeme Service Pack 2 | Microsoft-FTP-Dienst 6.0 für IIS 6.0 Internetinformationsdienste 6.0 |
| Windows Vista Service Pack 2 | Microsoft-FTP-Dienst 6.0 für IIS 7.0[1] Microsoft-FTP-Dienst 6.0 für IIS 7.5[1] Internet Information Services 7.0 |
| Windows Vista x64 Edition Service Pack 2 | Microsoft-FTP-Dienst 6.0 für IIS 7.0[1] Microsoft-FTP-Dienst 6.0 für IIS 7.5[1] Internet Information Services 7.0 |
| Windows Server 2008 für 32-Bit-Systeme Service Pack 2 | Microsoft-FTP-Dienst 6.0 für IIS 7.0[1] Microsoft-FTP-Dienst 6.0 für IIS 7.5[1] Internet Information Services 7.0 |
| Windows Server 2008 für x64-basierte Systeme Service Pack 2 | Microsoft-FTP-Dienst 6.0 für IIS 7.0[1] Microsoft-FTP-Dienst 6.0 für IIS 7.5[1] Internet Information Services 7.0 |
| Windows Server 2008 für Itanium-basierte Systeme Service Pack 2 | Microsoft-FTP-Dienst 6.0 für IIS 7.0[1] Microsoft-FTP-Dienst 6.0 für IIS 7.5[1] Internet Information Services 7.0 |
| Windows 8 für 32-Bit-Systeme | Microsoft FTP-Dienst für IIS 8.0[1] Internetinformationsdienste 8.0 |
| Windows 8 für 64-Bit-Systeme | Microsoft FTP-Dienst für IIS 8.0[1] Internetinformationsdienste 8.0 |
| Windows RT | Nicht anwendbar |
| Windows Server 2012 | Microsoft FTP-Dienst für IIS 8.0[1] Internetinformationsdienste 8.0 |
| Windows Server 2012 (Server Core-Installation) | Microsoft FTP-Dienst für IIS 8.0[1] Internetinformationsdienste 8.0 |
[1]Der standardmäßige FTP-Dienst für dieses Betriebssystem.
Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate
Informationen zu Sicherheitsanfälligkeiten
Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeit
Sicherheitsanfälligkeit durch Kennwortoffenlegung – CVE-2012-2531
Sicherheitsanfälligkeit durch FTP-Befehlseinschleusung – CVE-2012-2532
Informationen zum Update
Tools und Anleitungen zur Erkennung und Bereitstellung
Bereitstellung von Sicherheitsupdates
Weitere Informationen:
Danksagungen
Microsoft dankt den folgenden Personen, dass sie zum Schutz unserer Kunden mit uns zusammengearbeitet haben:
- Justin Royce von ProDX für den Hinweis auf die Sicherheitsanfälligkeit durch Kennwortoffenlegung (CVE-2012-2531).
Microsoft Active Protections Program (MAPP)
Um den Sicherheitsschutz für Benutzer zu verbessern, stellt Microsoft den wichtigsten Sicherheitssoftwareanbietern vor der monatlichen Veröffentlichung der Sicherheitsupdates Informationen zu Sicherheitsanfälligkeiten bereit. Anbieter von Sicherheitssoftware können diese Informationen zu Sicherheitsanfälligkeiten dann verwenden, um Benutzern aktualisierten Schutz über ihre Sicherheitssoftware oder ihre Geräte bereitzustellen, z. B. Antivirus, netzwerkbasierte Angriffserkennungssysteme oder hostbasierte Angriffsverhinderungssysteme. Wenn Sie erfahren möchten, ob von den Sicherheitssoftwareanbietern aktiver Schutz verfügbar ist, besuchen Sie die von den Programmpartnern bereitgestellte Active Protections-Websites, die unter MAPP-Partner (Microsoft Active Protections Program) aufgeführt sind.
Support
So erhalten Sie Hilfe und Support zu diesem Sicherheitsupdate
- Hilfe beim Installieren von Updates: Support für Microsoft Update
- Sicherheitslösungen für IT-Experten: TechNet Sicherheit – Problembehandlung und Support
- So schützen Sie Ihren Computer, auf dem Windows ausgeführt wird, vor Viren und schädlicher Software: Viruslösung und Security Center
- Lokaler Support entsprechend Ihrem Land: Internationaler Support
Haftungsausschluss
Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für Sie.
Revisionen
- V1.0 (13. November 2012): Bulletin veröffentlicht.
- V2.0 (14. November 2012): Dieses Bulletin wurde überarbeitet, um anzukündigen, dass das Update KB2716513 für Windows Vista und Windows Server 2008 jetzt über alle Verteilungskanäle verfügbar ist, einschließlich Windows Update und Microsoft Update. Endbenutzer, die dieses Update bereits erfolgreich vom Microsoft Download Center installiert haben, müssen das Update nicht erneut installieren. Außerdem wurde eine häufig gestellte Frage (FAQ) zu diesem Update mit zusätzlichen Erläuterungen und Korrekturen für das Bulletin hinzugefügt.
- V2.1 (20. November 2012): Fehlende Servercore-Installationseinträge wurden zur Tabelle zur Bewertung des Schweregrads hinzugefügt. Dies ist lediglich eine Bulletin-Änderung. An der Tabelle "Betroffene Software" wurden keine Änderungen vorgenommen.