Microsoft Security Bulletin MS10-077 - Kritisch

Sicherheitsanfälligkeit in .NET Framework kann Remotecodeausführung ermöglichen (2160841)

Veröffentlicht: | Aktualisiert:

Version: 3.1

Allgemeine Informationen

Kurzzusammenfassung

Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft .NET Framework. Die Sicherheitsanfälligkeit kann Remotecodeausführung auf einem Clientsystem ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite in einem Webbrowser anzeigt, der XAML-Browseranwendungen (XBAPs) ausführen kann. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten. Die Sicherheitsanfälligkeit kann auch Remotecodeausführung auf einem Serversystem ermöglichen, auf dem IIS ausgeführt wird, wenn dieser Server die Verarbeitung von ASP.NET-Seiten zulässt und ein Angreifer erfolgreich eine speziell gestaltete ASP.NET-Seite auf den Server hochlädt und dann ausführt, wie es in einem Webhostingszenario der Fall sein kann.

Dieses Sicherheitsupdate wird für Microsoft .NET Framework 4.0 unter unterstützten x64-basierten und Itanium-basierten Editionen von Microsoft Windows, mit Ausnahme von Windows Server 2008 und Windows Server 2008 R2, als Kritisch eingestuft. Für Microsoft .NET Framework 4.0 unter unterstützten x64-basierten und Itanium-basierten Editionen von Windows Server 2008 und Windows Server 2008 R2 wird dieses Update als Hoch eingestuft. Weitere Informationen finden Sie im Unterabschnitt Betroffene und nicht betroffene Software in diesem Abschnitt.

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem geändert wird, wie der JIT-Compiler Code optimiert. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ für den bestimmten Sicherheitsanfälligkeitseintrag unter dem nächsten Abschnitt Informationen zu Sicherheitsanfälligkeiten.

Empfehlung. Die Mehrheit der Benutzer hat die automatische Aktualisierung aktiviert und muss keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871.

Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, das Update so schnell wie möglich mit Updateverwaltungssoftware zu installieren bzw. mithilfe des Diensts Microsoft Update auf Updates zu prüfen.

Siehe auch den Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung weiter unten in diesem Bulletin.

Bekannte Probleme. Im Microsoft Knowledge Base-Artikel 2160841 werden die derzeit bekannten Probleme dokumentiert, die durch die Installation dieses Sicherheitsupdates auftreten können. Im Artikel werden auch Lösungen für diese Probleme empfohlen.

Betroffene und nicht betroffene Software

Folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen haben entweder das Ende des Lebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder Edition zu ermitteln.

Betroffene Software

BetriebssystemKomponenteMaximale SicherheitsauswirkungBewertung des GesamtschweregradsBulletins, die durch dieses Update ersetzt werden
Windows XP
Windows XP Professional x64 Edition Service Pack 2Microsoft .NET Framework 4.0[1]RemotecodeausführungKritischKeine
Windows Server 2003
Windows Server 2003 x64 Edition Service Pack 2Microsoft .NET Framework 4.0[1]RemotecodeausführungKritischKeine
Windows Server 2003 mit SP2 für Itanium-basierte SystemeMicrosoft .NET Framework 4.0[1]RemotecodeausführungKritischKeine
Windows Vista
Windows Vista x64 Edition Service Pack 1 und Windows Vista x64 Edition Service Pack 2Microsoft .NET Framework 4.0[1]RemotecodeausführungKritischKeine
Windows Server 2008
Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für x64-basierte Systeme Service Pack 2Microsoft .NET Framework 4.0**[1]RemotecodeausführungHochKeine
Windows Server 2008 für Itanium-basierte Systeme und Windows Server 2008 für Itanium-basierte Systeme Service Pack 2Microsoft .NET Framework 4.0[1]RemotecodeausführungHochKeine
Windows 7
Windows 7 für x64-basierte SystemeMicrosoft .NET Framework 4.0[1]RemotecodeausführungKritischKeine
Windows 7 für x64-basierte Systeme Service Pack 1Microsoft .NET Framework 4.0[1]RemotecodeausführungKritischKeine
Windows Server 2008 R2
Windows Server 2008 R2 für x64-basierte SystemeMicrosoft .NET Framework 4.0[1]RemotecodeausführungHochKeine
Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1Microsoft .NET Framework 4.0**[1]RemotecodeausführungHochKeine
Windows Server 2008 R2 für Itanium-basierte SystemeMicrosoft .NET Framework 4.0[1]RemotecodeausführungHochKeine
Windows Server 2008 R2 für Itanium-basierte Systeme Service Pack 1Microsoft .NET Framework 4.0[1]RemotecodeausführungHochKeine

**Die Server Core-Installation ist nicht betroffen. Die durch dieses Update behobenen Sicherheitsanfälligkeiten betreffen unterstützte Editionen von Windows Server 2008 oder Windows Server 2008 R2 wie angegeben nicht, wenn diese mit der Server Core-Installationsoption installiert wurden. Weitere Informationen zu dieser Installationsoption finden Sie in den TechNet-Artikeln Verwalten einer Server Core-Installation und Wartung einer Server Core-Installation. Beachten Sie, dass die Server Core-Installationsoption für bestimmte Editionen von Windows Server 2008 und Windows Server 2008 R2 nicht gilt; siehe dazu Vergleichen von Server Core-Installationsoptionen.

[1].NET Framework 4.0 und .NET Framework 4.0 Client Profile sind betroffen. Die .NET Framework Version 4 Redistributable Packages sind in zwei Profilen verfügbar: .NET Framework 4.0 und .NET Framework 4.0 Client Profile. .NET Framework 4.0 Client Profile ist Teil von .NET Framework 4.0. Die in diesem Update behobene Sicherheitsanfälligkeit betrifft sowohl .NET Framework 4.0 als auch .NET Framework 4.0 Client Profile. Weitere Informationen finden Sie unter: Installieren von .NET Framework.

Nicht betroffene Software

Betriebssystem Komponente
Microsoft .NET Framework
Microsoft .NET Framework 1.0 Service Pack 3
Microsoft .NET Framework 1.1 Service Pack 1
Microsoft .NET Framework 2.0 Service Pack 1
Microsoft .NET Framework 2.0 Service Pack 2
Microsoft .NET Framework 3.0
Microsoft .NET Framework 3.0 Service Pack 1
Microsoft .NET Framework 3.0 Service Pack 2
Microsoft .NET Framework 3.5
Microsoft .NET Framework 3.5 Service Pack 1
Microsoft .NET Framework 3.5.1
Microsoft .NET Framework 4.0
Windows XP Service Pack 3 Microsoft .NET Framework 4.0
Windows Server 2003 Service Pack 2 Microsoft .NET Framework 4.0
Windows Vista Service Pack 1 und Windows Vista Service Pack 2Microsoft .NET Framework 4.0
Windows Server 2008 für 32-Bit-Systeme und Windows Server 2008 für 32-Bit-Systeme Service Pack 2Microsoft .NET Framework 4.0
Windows 7 für 32-Bit-SystemeMicrosoft .NET Framework 4.0
Windows 7 für 32-Bit-Systeme Service Pack 1Microsoft .NET Framework 4.0

Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate

Informationen zu Sicherheitsanfälligkeiten

Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeit

Sicherheitsanfälligkeit in .NET Framework x64 bezüglich JIT-Compilers – CVE-2010-3228

Informationen zum Update

Tools und Anleitungen zur Erkennung und Bereitstellung

Bereitstellung von Sicherheitsupdates

Weitere Informationen:

Danksagungen

Microsoft dankt den folgenden Personen, dass sie zum Schutz unserer Kunden mit uns zusammengearbeitet haben:

  • Jeroen Frijters von Sumatra für den Hinweis auf die Sicherheitsanfälligkeit in .NET Framework x64 bezüglich JIT-Compilers (CVE-2010-3228)

Microsoft Active Protections Program (MAPP)

Um den Sicherheitsschutz für Benutzer zu verbessern, stellt Microsoft den wichtigsten Sicherheitssoftwareanbietern vor der monatlichen Veröffentlichung der Sicherheitsupdates Informationen zu Sicherheitsanfälligkeiten bereit. Anbieter von Sicherheitssoftware können diese Informationen zu Sicherheitsanfälligkeiten dann verwenden, um Benutzern aktualisierten Schutz über ihre Sicherheitssoftware oder ihre Geräte bereitzustellen, z. B. Antivirus, netzwerkbasierte Angriffserkennungssysteme oder hostbasierte Angriffsverhinderungssysteme. Wenn Sie erfahren möchten, ob von den Sicherheitssoftwareanbietern aktiver Schutz verfügbar ist, besuchen Sie die von den Programmpartnern bereitgestellte Active Protections-Websites, die unter MAPP-Partner (Microsoft Active Protections Program) aufgeführt sind.

Support

  • Technischer Support ist über den Security Support erhältlich. Supportanrufe zu Sicherheitsupdates sind kostenlos. Weitere Informationen zu verfügbaren Supportoptionen finden Sie auf der Microsoft-Website „Hilfe und Support“.
  • Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Supportanfragen zu Sicherheitsupdates sind kostenlos. Weitere Informationen dazu, wie Sie Microsoft in Bezug auf Supportfragen kontaktieren können, finden Sie auf der International Support Website.

Haftungsausschluss

Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für Sie.

Revisionen

  • V1.0 (12. Oktober 2010): Bulletin veröffentlicht.
  • V1.1 (13. Oktober 2010): Die Bewertung des Schweregrads für diese Sicherheitsanfälligkeit wurde für Windows Server 2008 und Windows Server 2008 R2 zu Hoch geändert. Dem Abschnitt „Bekannte Probleme“ in der Kurzzusammenfassung wurde eine Verknüpfung zum Microsoft Knowledge Base-Artikel 2160841 hinzugefügt und die schadensbegrenzenden Maßnahmen für die Sicherheitsanfälligkeit wurden überarbeitet.
  • V1.2 (26. Oktober 2010): Dieses Bulletin wurde überarbeitet, um eine Erkennungsänderung zur Problembehebung eines Installationsproblems anzukündigen. Dies ist lediglich eine Erkennungsänderung. Das Sicherheitsupdate wurde nicht verändert. Benutzer, die das Update bereits erfolgreich installiert haben, müssen es nicht erneut installieren.
  • V2.0 (14. Dezember 2010): Eine häufig gestellte Frage (FAQ) zu diesem Update wurde hinzugefügt, um anzukündigen, dass neue Updatepakete für .NET Framework 4.0 verfügbar sind. Damit wird ein Problem im Setup korrigiert, das die erfolgreiche Installation von anderen Updates und/oder Produkten stören kann. Benutzer, die ihre Systeme bereits erfolgreich aktualisiert haben, müssen keine Maßnahmen ergreifen.
  • V3.0 (22. Februar 2011): Ankündigung einer Erkennungsänderung, um die Microsoft .NET Framework 4.0-Updatepakete jenen Benutzern anzubieten, die Microsoft .NET Framework 4.0 installieren, nachdem sie Windows 7 für x64-basierte Systeme Service Pack 1, Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 oder Windows Server 2008 R2 für Itanium-basierte Systeme Service Pack 1 installiert haben. Benutzer, die ihre Systeme bereits erfolgreich aktualisiert haben, müssen keine Maßnahmen ergreifen.
  • V3.1 (26. Oktober 2011): Anwendbarkeit der Server Core-Installation für .NET Framework 4 unter Windows Server 2008 R2 für x64-basierte Systeme wurde korrigiert.