Microsoft-Sicherheitsempfehlung (973882)
Sicherheitsanfälligkeiten in Microsoft Active Template Library (ATL) können Remotecodeausführung ermöglichen
Veröffentlicht: | Aktualisiert:
Version: 4.0
Microsoft veröffentlicht diese Sicherheitsempfehlung, um Informationen zu unserer noch laufenden Untersuchung von Sicherheitsanfälligkeiten in der öffentlichen und der privaten Version der Microsoft Active Template Library (ATL) bereitzustellen. In dieser Empfehlung wird auch erläutert, wie Entwickler dabei helfen können sicherzustellen, dass von ihnen erstellte Steuerelemente und Komponenten nicht für die ATL-Probleme anfällig sind, was IT-Professionals und Endbenutzer tun können, um potenzielle Angriffe zu vermeiden, die die Sicherheitsanfälligkeiten ausnutzen, und was Microsoft im Rahmen seiner noch laufenden Untersuchung des in dieser Empfehlung beschriebenen Problems tut. Diese Sicherheitsempfehlung enthält auch eine umfassende Liste aller Microsoft Security Bulletins und Sicherheitsupdates, die sich auf die Sicherheitsanfälligkeiten in der ATL beziehen. Die Untersuchung der öffentlichen und der privaten Version der ATL durch Microsoft wird weiterhin durchgeführt. Wir werden im Rahmen des Untersuchungsprozesses Sicherheitsupdates und Anleitungen veröffentlichen.
Microsoft ist bekannt, dass in der öffentlichen und der privaten Version der ATL Sicherheitsanfälligkeiten vorliegen. Microsoft ATL wird von Softwareentwicklern verwendet, um Steuerelemente oder Komponenten für die Windows-Plattform zu erstellen. Die in dieser Sicherheitsempfehlung und im Microsoft Security Bulletin MS09-035 beschriebenen Sicherheitsanfälligkeiten können zur Offenlegung von Information oder zu Angriffen per Remotecodeausführung bei Steuerelementen und Komponenten führen, die mithilfe anfälliger Versionen der ATL erstellt wurden. Komponenten und Steuerelemente, die mithilfe der anfälligen Version der ATL erstellt wurden, können aufgrund der Art der Verwendung der ATL oder aufgrund von Problemen im ATL-Code anfällig sein.
Anleitung für Entwickler: Microsoft hat die Probleme in den öffentlichen Headern der ATL korrigiert und Updates für die Bibliotheken im Bulletin MS09-035 „Sicherheitsanfälligkeiten in Visual Studio Active Template Library können Remotecodeausführung ermöglichen“ veröffentlicht. Microsoft empfiehlt dringend, dass Entwickler, die Steuerelemente oder Komponenten mit ATL erstellt haben, sofort handeln und überprüfen, ob ihre Steuerelemente anfällig sind, und gemäß der bereitgestellten Anleitung Steuerelemente und Komponenten erstellen, die nicht anfällig sind. Weitere Informationen zu den Sicherheitsanfälligkeiten sowie eine Anleitung zur Behebung von Problemen in ATL finden Sie unter MS09-035 „Sicherheitsanfälligkeiten in Visual Studio Active Template Library können Remotecodeausführung ermöglichen“.
Anleitung für IT-Experten und Benutzer: Um den Schutz von Endbenutzern zu verbessern, während Entwickler ihre Komponenten und Steuerelemente aktualisieren, hat Microsoft eine neue Tiefenverteidigungstechnologie (Defense-in-Depth) entwickelt. Diese neue, in Internet Explorer integrierte Tiefenverteidigungstechnologie verbessert den Schutz von Endbenutzern vor zukünftigen Angriffen, die die Sicherheitsanfälligkeiten in Microsoft Active Template Library ausnutzen, die in dieser Empfehlung und im Microsoft Security Bulletin MS09-035 beschrieben werden. Um von dieser neuen Tiefenverteidigungstechnologie zu profitieren, sollten IT-Professionals und Endbenutzer sofort das Sicherheitsupdate für Internet Explorer bereitstellen, das im Microsoft Security Bulletin MS09-034 „Kumulatives Sicherheitsupdate für Internet Explorer“ zur Verfügung gestellt wird.
Dieses Sicherheitsupdate umfasst eine schadensbegrenzende Maßnahme, die verhindert, dass mithilfe der anfälligen ATL erstellte Komponenten und Steuerelemente in Internet Explorer ausgenutzt werden, und behebt zudem mehrere nicht verwandte Sicherheitsanfälligkeiten. Der neue, in MS09-034 angebotene Tiefenverteidigungsschutz umfasst Updates für Internet Explorer 5.01, Internet Explorer 6 und Internet Explorer 6 Service Pack 1, Internet Explorer 7 und Internet Explorer 8. Dieser Tiefenverteidigungsschutz hilft dabei, die erfolgreiche Ausnutzung aller bekannten öffentlichen und privaten ATL-Sicherheitsanfälligkeiten zu verhindern, einschließlich der Sicherheitsanfälligkeiten, die zur Umgehung der Sicherheitsfunktion Kill Bit von ActiveX führen können. Dieser Schutz soll dabei helfen, Endbenutzer vor webbasierten Angriffen zu schützen.
Anleitung für private Benutzer: Um den Schutz von Endbenutzern zu verbessern, während Entwickler ihre Komponenten und Steuerelemente aktualisieren, hat Microsoft eine neue Tiefenverteidigungstechnologie (Defense-in-Depth) entwickelt. Diese neue, mit dem neuen Update in Internet Explorer integrierte Tiefenverteidigungstechnologie schützt Endbenutzer vor zukünftigen Angriffen, bei denen die Sicherheitsanfälligkeiten in Microsoft Active Template Library verwendet werden, die in dieser Empfehlung und im Microsoft Security Bulletin MS09-035 beschrieben werden. Private Endbenutzer, die Automatische Updates aktiviert haben, erhalten das neue Internet Explorer-Update automatisch und müssen keine weiteren Maßnahmen ergreifen. Private Endbenutzer sind automatisch besser vor zukünftigen Angriffen geschützt, die die Sicherheitsanfälligkeiten ausnutzen, die in dieser Sicherheitsempfehlung und im Microsoft Security Bulletin MS09-035 behoben werden.
Schadensbegrenzende Faktoren für Steuerelemente und Komponenten, die mithilfe einer anfälligen Version von Microsofts Active Template Library (ATL) erstellt wurden:
- Standardmäßig ist die Mehrheit der ActiveX-Steuerelemente nicht in der Standardliste der zulässigen ActiveX-Steuerelemente in Internet Explorer 7 oder Internet Explorer 8 unter Windows Vista oder neueren Betriebssystemen enthalten. Nur Endbenutzer, die anfällige Steuerelemente mithilfe der ActiveX-Auswahlmöglichkeit explizit genehmigt haben, sind durch Angriffe zur Ausnutzung dieser Sicherheitsanfälligkeit gefährdet. Wenn ein Endbenutzer solche ActiveX-Steuerelemente jedoch in einer vorherigen Version von Internet Explorer verwendet und dann später auf Internet Explorer 7 oder Internet Explorer 8 aktualisiert hat, sind diese ActiveX-Steuerelemente in Internet Explorer 7 und Internet Explorer 8 aktiviert, selbst wenn der Endbenutzer dies nicht explizit mithilfe der ActiveX-Auswahlmöglichkeit genehmigt hat.
- Standardmäßig bietet Internet Explorer 8 durch Aktivieren des DEP/NX-Speicherschutzes verbesserten Schutz unter Windows XP Service Pack 3, Windows Vista Service Pack 1 und Windows Vista Service Pack 2 sowie Windows 7.
- Internet Explorer unter Windows Server 2003 und Windows Server 2008 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden. Siehe auch Verwaltung der verstärkten Sicherheitskonfiguration von Internet Explorer.
- Standardmäßig öffnen alle unterstützten Versionen von Microsoft Outlook und Microsoft Outlook Express HTML-E-Mail-Nachrichten in der Zone für eingeschränkte Sites. Die Zone für eingeschränkte Sites verringert Angriffe, die auf die Ausnutzung dieser Sicherheitsanfälligkeit abzielen, da die Verwendung von Active Scripting und ActiveX-Steuerelementen beim Anzeigen von HTML-E-Mail unterbunden wird. Klickt ein Endbenutzer jedoch auf einen Link in einer E-Mail, besteht weiterhin die Gefahr einer Ausnutzung dieser Sicherheitsanfälligkeit wie im oben beschriebenen webbasierten Angriffsszenario.
- In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Er muss den Endbenutzer zum Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Endbenutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
- Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
Updates bezüglich ATL:
Am 13. Oktober 2009 veröffentlichtes Update
- Microsoft Security Bulletin MS09-060, „Sicherheitsanfälligkeiten in ActiveX-Steuerelementen der Microsoft Active Template Library (ATL) für Microsoft Office können Remotecodeausführung ermöglichen“, bietet Unterstützung für Microsoft Office-Komponenten, die von den in dieser Empfehlung beschriebenen Sicherheitsanfälligkeiten in der ATL betroffen sind.
Am 25. August 2009 veröffentlichte Updates
- Windows Live Messenger 14.0.8089 wird veröffentlicht, um Sicherheitsanfälligkeiten im Windows Live Messenger-Client zu beheben, die sich auf die Sicherheitsanfälligkeiten in der ATL beziehen, die in dieser Empfehlung beschrieben werden.
- Dieser Empfehlung wurde ein Abschnitt Häufig gestellten Fragen zu Windows Live-Komponenten hinzugefügt, um das Entfernen der „Attach Photo“-Funktion von Windows Live Hotmail mitzuteilen und Details zur Veröffentlichung von Windows Live Messenger 14.0.8089 bereitzustellen.
Am 11. August 2009 veröffentlichte Updates
- Microsoft Security Bulletin MS09-037, „Sicherheitsanfälligkeiten in Microsoft Active Template Library (ATL) können Remotecodeausführung ermöglichen“, bietet Unterstützung für Windows-Komponenten, die von den in dieser Empfehlung beschriebenen Sicherheitsanfälligkeiten in der ATL betroffen sind.
- Microsoft Security Bulletin MS09-035, „Sicherheitsanfälligkeiten in Visual Studio Active Template Library können Remotecodeausführung ermöglichen“, wird erneut veröffentlicht, um neue Updates für Entwickler anzubieten, die Visual Studio verwenden, um mit „ATL für intelligente Geräte“ Komponenten und Steuerelemente für mobile Anwendungen zu erstellen.
Am 28. Juli 2009 veröffentlichte Updates
- Microsoft Security Bulletin MS09-035 „Sicherheitsanfälligkeiten in Visual Studio Active Template Library können Remotecodeausführung ermöglichen“ enthält weitere Details über die konkreten Sicherheitsanfälligkeiten in der ATL und stellt die aktualisierten öffentlichen ATL-Header für Anbieter zur Entwicklung aktualisierter Komponenten und Steuerelemente bereit. Unsere Untersuchung hat ergeben, dass es Komponenten und Steuerelemente von Microsoft und von Drittanbietern gibt, die von diesem Problem betroffen sind, und dass diese Komponenten und Steuerelemente unter allen unterstützten Editionen von Windows 2000 Service Pack 4, Windows XP, Windows Server 2003, Windows Vista und Windows Server 2008 vorhanden sind. Entwickler, die beim Erstellen von Steuerelementen oder Komponenten anfällige Versionen der ATL verwendet haben, sollten dieses Bulletin lesen und sofort handeln, wenn ihre Steuerelemente anfällig sind.
- Microsoft Security Bulletin MS09-034 „Kumulatives Sicherheitsupdate für Internet Explorer“ umfasst eine schadensbegrenzende Maßnahme, die verhindert, dass mithilfe der anfälligen ATL erstellte Komponenten und Steuerelemente in Internet Explorer ausgenutzt werden, und behebt zudem mehrere nicht verwandte Sicherheitsanfälligkeiten. Der neue, in MS09-034 angebotene Tiefenverteidigungsschutz umfasst Updates für Internet Explorer 5.01, Internet Explorer 6 und Internet Explorer 6 Service Pack 1, Internet Explorer 7 und Internet Explorer 8. Dieser Tiefenverteidigungsschutz hilft dabei, die erfolgreiche Ausnutzung aller bekannten öffentlichen und privaten ATL-Sicherheitsanfälligkeiten zu verhindern, einschließlich der Sicherheitsanfälligkeiten, die zur Umgehung der Kill Bit-Sicherheitsfunktion von ActiveX führen können. Dieser Schutz soll dabei helfen, Endbenutzer vor webbasierten Angriffen zu schützen.
- Unseres Wissens gibt es keine Methoden oder Steuerelemente in Windows 7, die erfolgreiche Angriffe über Internet Explorer ermöglichen.
Am 14. Juli 2009 veröffentlichtes Update
- In Microsoft Security Bulletin MS09-032 „Kumulatives Sicherheitsupdate von ActiveX-Kill Bits“ wurden ActiveX-Sicherheitsmaßnahmen (ein Kill Bit) bereitgestellt, die die Ausführung des msvidctl-Steuerelements in Internet Explorer verhindern. In msvidctl wurde eine Sicherheitsanfälligkeit in der privaten Version der ATL ausgenutzt. In diesem speziellen Fall ermöglicht die Sicherheitsanfälligkeit einem Angreifer, Speicher zu beschädigen, was zu einer Remotecodeausführung führen kann. Die in der Juni-Veröffentlichung für msvidctl (MS09-032) enthaltenen Kill Bits blockieren die hier beschriebenen Angriffsmethoden.
Allgemeine Informationen
Übersicht
Häufig gestellte Fragen (FAQs)
Häufig gestellte Fragen zu Windows Live Services
Häufig gestellte Fragen von Entwicklern zum Visual Studio-Update
Häufig gestellte Fragen von IT-Professionals zu Möglichkeiten, sich selbst zu schützen
Häufig gestellte Fragen zu Möglichkeiten, wie Endbenutzer sich schützen können
Häufig gestellte Fragen zu den schadensbegrenzenden Maßnahmen im Internet Explorer-Update
Empfohlene Maßnahmen
Weitere Informationen:
Ressourcen:
- Sie können uns Ihr Feedback über das Formular auf der Microsoft-Website Hilfe und Support: Kontakt zukommen lassen.
- Technischer Support ist über den Security Support erhältlich. Weitere Informationen zu verfügbaren Supportoptionen finden Sie auf der Microsoft-Website „Hilfe und Support“.
- Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Weitere Informationen dazu, wie Sie Microsoft in Bezug auf Supportfragen kontaktieren können, finden Sie auf der Website Internationale Hilfe und Support.
- Auf der Microsoft-Website TechNet Sicherheit werden zusätzliche Informationen zur Sicherheit in Microsoft-Produkten zur Verfügung gestellt.
Haftungsausschluss:
Die Informationen in dieser Empfehlung werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.
Revisionen:
- V1.0 (28. Juli 2009): Die Empfehlung wurde veröffentlicht.
- V2.0 (11. August 2009): Überarbeitung der Empfehlung, um dem Abschnitt Updates bezüglich ATL Einträge hinzuzufügen, um die Veröffentlichung von Microsoft Security Bulletin MS09-037, „Sicherheitsanfälligkeiten in Microsoft Active Template Library (ATL) können Remotecodeausführung ermöglichen“, sowie die erneute Veröffentlichung von Microsoft Security Bulletin MS09-035, „Sicherheitsanfälligkeiten in Visual Studio Active Template Library können Remotecodeausführung ermöglichen“, mitzuteilen, um zusätzliche Updates anzubieten.
- V3.0 (25. August 2009): Die Empfehlung wurde überarbeitet, um Details zu der Veröffentlichung von Windows Live Messenger 14.0.8089 bereitzustellen und das Entfernen der „Attach Photo“-Funktion von Windows Live Hotmail mitzuteilen.
- V4.0 (13. Oktober 2009): Die Empfehlung wurde überarbeitet, um dem Abschnitt Updates bezüglich ATL einen Eintrag hinzuzufügen, in dem die Veröffentlichung von Microsoft Security Bulletin MS09-060 „Sicherheitsanfälligkeiten in ActiveX-Steuerelementen der Microsoft Active Template Library (ATL) für Microsoft Office können Remotecodeausführung ermöglichen“ mitgeteilt wird.