Sicherheitsbulletin

Microsoft Security Bulletin MS13-045 – Wichtig

Sicherheitsanfälligkeit in Windows Essentials könnte die Offenlegung von Informationen zulassen (2813707)

Veröffentlicht: 14. Mai 2013 | Aktualisiert: 15. Mai 2013

Version: 1.1

Allgemeine Informationen

Kurzfassung

Dieses Sicherheitsupdate behebt eine privat gemeldete Sicherheitsanfälligkeit in Windows Essentials. Die Sicherheitsanfälligkeit könnte die Offenlegung von Informationen ermöglichen, wenn ein Benutzer Windows Writer mit einer speziell gestalteten URL öffnet. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann Windows Writer-Proxyeinstellungen außer Kraft setzen und Dateien überschreiben, auf die für den Benutzer im Zielsystem zugegriffen werden kann. In einem webbasierten Angriffsszenario könnte eine Website einen speziell gestalteten Link enthalten, der verwendet wird, um diese Sicherheitsanfälligkeit auszunutzen. Ein Angreifer müsste die Benutzer davon überzeugen, die Website zu besuchen und den speziell gestalteten Link zu öffnen.

Dieses Sicherheitsupdate ist für Windows Writer als wichtig eingestuft, wenn es auf allen unterstützten Editionen von Microsoft Windows installiert ist. Weitere Informationen finden Sie im Unterabschnitt, betroffene und nicht betroffene Software in diesem Abschnitt.

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Windows Writer URL-Parameter behandelt. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Unterabschnitt häufig gestellte Fragen (FAQ) für den spezifischen Sicherheitsrisikoeintrag im nächsten Abschnitt, Sicherheitsrisikoinformationen.

Empfehlung Microsoft empfiehlt Kunden, das Update frühestens anzuwenden.

Siehe auch den Abschnitt " Erkennungs- und Bereitstellungstools und Anleitungen" weiter unten in diesem Bulletin.

Knowledge Base-Artikel

Betroffene und nicht betroffene Software

Die folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen oder Editionen liegen entweder über ihren Supportlebenszyklus oder sind nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Betroffene Software 

^[1]Für Windows Essentials 2011 ist kein Update verfügbar. Details finden Sie in den häufig gestellten Fragen zu Updates.

^[2]Dieses Update ist nur zum Download verfügbar.

Häufig gestellte Fragen zum Aktualisieren

Wo befindet sich das Update für Windows Essentials 2011?
Es ist kein Update für Windows Essentials 2011 verfügbar, da Microsoft empfiehlt, dass alle Kunden dieses Versionsupgrades auf Windows Essentials 2012 verwenden. Windows Essentials 2012 ist auf der Windows Essentials-Downloadseite verfügbar.

Was kann ich tun, wenn ich meine Version von Windows Essentials nicht aktualisieren kann?
Kunden, die ihre Version von Windows Essentials nicht aktualisieren können, können den Windows Writer-Handler deaktivieren. Weitere Informationen zum Deaktivieren des Windows Writer-Handlers finden Sie in der Problemumgehung im Abschnitt "Sicherheitsanfälligkeit in Windows Essentials Falsche URI-Behandlung – CVE-2013-0096".For more information on how to disable the Windows Writer handler, see the workaround in the Windows Essentials Improper URI Handling Vulnerability - CVE-2013-0096 section.

Ich verwende eine ältere Version der Software, die in diesem Sicherheitsbulletin erläutert wird. Wie sollte ich vorgehen? 
Die in diesem Bulletin aufgeführte betroffene Software wurde getestet, um festzustellen, welche Versionen betroffen sind. Andere Versionen sind über ihren Supportlebenszyklus hinweg. Weitere Informationen zum Produktlebenszyklus finden Sie auf der Microsoft-Support Lifecycle-Website.

Es sollte eine Priorität für Kunden sein, die über ältere Versionen der Software verfügen, um zu unterstützten Versionen zu migrieren, um potenzielle Gefährdungen durch Sicherheitsrisiken zu verhindern. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion finden Sie unter Auswählen eines Produkts für Lebenszyklusinformationen. Weitere Informationen zu Service Packs für diese Softwareversionen finden Sie unter Service Pack Lifecycle Support Policy.

Kunden, die benutzerdefinierten Support für ältere Software benötigen, müssen sich an ihren Microsoft-Kontoteammitarbeiter, den Technical Account Manager oder den entsprechenden Microsoft-Partnermitarbeiter wenden, um benutzerdefinierte Supportoptionen zu erhalten. Kunden ohne Allianz-, Premier- oder autorisierten Vertrag können sich an ihr lokales Microsoft-Vertriebsbüro wenden. Informationen zu Kontaktinformationen finden Sie auf der Microsoft Worldwide Information-Website , wählen Sie das Land in der Kontaktinformationsliste aus, und klicken Sie dann auf "Gehe ", um eine Liste der Telefonnummern anzuzeigen. Wenn Sie anrufen, bitten Sie, mit dem lokalen Premier Support Sales Manager zu sprechen. Weitere Informationen finden Sie in den häufig gestellten Fragen zur Microsoft-Support Lifecycle-Richtlinie.

Sicherheitsrisikoinformationen

Schweregradbewertungen und Sicherheitslücken-IDs

Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung vom Mai. Weitere Informationen finden Sie unter Microsoft Exploitability Index.

Sicherheitsanfälligkeit in Windows Essentials wegen fehlerhafter URI-Behandlung – CVE-2013-0096

Eine Sicherheitslücke zur Offenlegung von Informationen ist vorhanden, wenn Windows Writer eine speziell gestaltete URL nicht ordnungsgemäß verarbeitet. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann Windows Writer-Proxyeinstellungen außer Kraft setzen und Dateien überschreiben, auf die für den Benutzer im Zielsystem zugegriffen werden kann.

Informationen zum Anzeigen dieser Sicherheitsanfälligkeit als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2013-0096.

Mildernde Faktoren

Die Entschärfung bezieht sich auf eine Einstellung, eine allgemeine Konfiguration oder eine allgemeine bewährte Methode, die in einem Standardzustand vorhanden ist, wodurch der Schweregrad der Ausbeutung einer Sicherheitsanfälligkeit verringert werden kann. Die folgenden mildernden Faktoren können in Ihrer Situation hilfreich sein:

• In einem webbasierten Angriffsszenario müsste ein Angreifer eine Website hosten und einen Benutzer davon überzeugen, auf eine speziell gestaltete URL zu klicken, um diese Sicherheitsanfälligkeit auszunutzen. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, benutzer zu zwingen, diese Websites zu besuchen. Stattdessen müsste ein Angreifer die Benutzer davon überzeugen, die Website zu besuchen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die Benutzer zur Website des Angreifers führt.

Problemumgehungen

Die Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht korrigiert, aber bekannte Angriffsvektoren blockiert, bevor Sie das Update anwenden. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Diskussion an, ob eine Problemumgehung die Funktionalität reduziert:

• Wenden Sie die Microsoft Fix it-Lösung "Windows Writer deaktivieren" an, die die Ausbeutung dieser Sicherheitsanfälligkeit verhindert.

  Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 2813707 , um diese Problemumgehung mithilfe der automatisierten Microsoft Fix it-Lösung zu aktivieren oder zu deaktivieren.

  Auswirkungen der Problemumgehung. Benutzer, die ihre Systeme mit dieser Problemumgehung konfiguriert haben, können Windows Writer-Handleranforderungen nicht verarbeiten, die normalerweise Windows Writer starten würden.

Häufig gestellte Fragen

Was ist der Umfang der Sicherheitsanfälligkeit? 
Dies ist eine Sicherheitslücke zur Offenlegung von Informationen.

Was verursacht die Sicherheitsanfälligkeit? 
Die Sicherheitsanfälligkeit wird verursacht, wenn Windows Writer URL-Parameter nicht ordnungsgemäß verarbeitet.

Was ist Windows Essentials?
Windows Essentials ist eine Reihe von Produkten, die in einem einfachen Download verfügbar sind. Die Suite umfasst Fotogalerie, Mail, Movie Maker, Writer, Family Tresor ty, Bing Bar und Microsoft Silverlight.

Was ist Windows Writer? 
Windows Writer ist eine Clientanwendung für Windows, die Benutzern eine Möglichkeit zum Erstellen, Aktualisieren und Verwalten von Bloginhalten bietet. Die Anwendung ist Teil der kostenlosen Windows Essentials-Softwaresuite, die mehrere Anwendungen (wie Messenger, Mail, Fotogalerie und Movie Maker) umfasst, die allgemeine Aufgaben im Consumerbereich ausführen.

Was kann ein Angreifer tun, um die Sicherheitsanfälligkeit zu tun? 
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann Windows Writer-Proxyeinstellungen außer Kraft setzen und Dateien überschreiben, auf die auf den Benutzer im Zielsystem zugegriffen werden kann.

Wie kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen? 
Damit diese Sicherheitsanfälligkeit ausgenutzt wird, muss ein Benutzer Writer mithilfe einer speziell gestalteten URL öffnen.

In einem E-Mail-Angriffsszenario könnte ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine E-Mail-Nachricht mit der speziell gestalteten URL an einen Benutzer sendet und den Benutzer dazu überzeugen konnte, auf die speziell gestaltete URL zu klicken.

In einem webbasierten Angriffsszenario müsste ein Angreifer eine Website hosten, die eine speziell gestaltete URL enthält. Außerdem könnten kompromittierte Websites und Websites, die vom Benutzer bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. Ein Angreifer hätte keine Möglichkeit, Benutzer zu erzwingen, eine speziell gestaltete Website zu besuchen. Stattdessen müsste ein Angreifer sie davon überzeugen, die Website zu besuchen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die sie zur Website des Angreifers führt, und dann davon überzeugen, auf die speziell gestaltete URL zu klicken.

Welche Systeme sind in erster Linie durch die Sicherheitsanfälligkeit gefährdet? 
Systeme, auf denen Windows Writer installiert ist, sind gefährdet.

Was geschieht mit dem Update? 
Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Windows Writer URL-Parameter behandelt.

Als dieses Sicherheitsbulletin ausgegeben wurde, wurde diese Sicherheitsanfälligkeit öffentlich offengelegt? 
Nein Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten.

Als dieses Sicherheitsbulletin ausgegeben wurde, erhielt Microsoft alle Berichte, dass diese Sicherheitsanfälligkeit ausgenutzt wurde?
Nein Microsoft hatte keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Kunden verwendet wurde, als dieses Sicherheitsbulletin ursprünglich ausgestellt wurde.

Informationen aktualisieren

Erkennungs- und Bereitstellungstools und Anleitungen

Security Central

Verwalten Sie die Software- und Sicherheitsupdates, die Sie für die Server, Desktop- und mobilen Systeme in Ihrer Organisation bereitstellen müssen. Weitere Informationen finden Sie im TechNet Update Management Center. Die Microsoft TechNet Security-Website enthält zusätzliche Informationen zur Sicherheit in Microsoft-Produkten.

Windows Essentials 2012 ist auf der Windows Essentials-Downloadseite verfügbar.

Bereitstellung von Sicherheitsupdates

Betroffene Software

Klicken Sie auf den entsprechenden Link, um Informationen zum spezifischen Sicherheitsupdate für Ihre betroffene Software zu erhalten:

Windows Essentials 2012

Referenztabelle

Die folgende Tabelle enthält die Sicherheitsupdateinformationen für diese Software.

Sonstige Informationen

Danksagungen

Microsoft danke ihnen für die Zusammenarbeit mit uns, um Kunden zu schützen:

• Andrea Micalizzi, arbeitet mit dem SecuriTeam Secure Disclosure-Team von Beyond Security zusammen, um die Sicherheitsanfälligkeit in Windows Essentials zur fehlerhaften URI-Behandlung zu melden (CVE-2013-0096)

Microsoft Active Protections Program (MAPP)

Um den Sicherheitsschutz für Kunden zu verbessern, stellt Microsoft Sicherheitsrisiken für wichtige Sicherheitssoftwareanbieter im Voraus jeder monatlichen Sicherheitsupdateversion bereit. Sicherheitssoftwareanbieter können diese Sicherheitsrisikoinformationen dann verwenden, um Kunden über ihre Sicherheitssoftware oder Geräte, z. B. Antivirensoftware, netzwerkbasierte Angriffserkennungssysteme oder hostbasierte Angriffsschutzsysteme, aktualisierte Schutzmaßnahmen bereitzustellen. Um festzustellen, ob aktive Schutzmaßnahmen von Sicherheitssoftwareanbietern verfügbar sind, wechseln Sie zu den aktiven Schutzwebsites, die von Programmpartnern bereitgestellt werden, die in Microsoft Active Protections Program (MAPP)-Partnern aufgeführt sind.

Unterstützung

So erhalten Sie Hilfe und Support für dieses Sicherheitsupdate

• Hilfe beim Installieren von Updates: Support für Microsoft Update
• Sicherheitslösungen für IT-Experten: TechNet Security Troubleshooting and Support
• Schützen Sie Ihren Computer, auf dem Windows ausgeführt wird, vor Viren und Schadsoftware: Virenlösung und Security Center
• Lokaler Support nach Ihrem Land: Internationaler Support

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (14. Mai 2013): Bulletin veröffentlicht.
• V1.1 (15. Mai 2013): Korrigierter Link zum Downloadspeicherort im Abschnitt "Erkennungs- und Bereitstellungstools und Anleitungen". Dies ist nur eine Informationsänderung.

Gebaut am 2014-04-18T13:49:36Z-07:00