Microsoft Security Bulletin MS15-082 – Wichtig

Sicherheitsrisiken in RDP könnten Remotecodeausführung zulassen (3080348)

Veröffentlicht: 11. August 2015 | Aktualisiert: 23. Dezember 2015

Version: 1.1

Kurzfassung

Dieses Sicherheitsupdate behebt Sicherheitsrisiken in Microsoft Windows. Die schwerwiegendsten Sicherheitsrisiken könnten remotecodeausführung zulassen, wenn ein Angreifer zuerst eine speziell gestaltete DLL-Datei (Dynamic Link Library) im aktuellen Arbeitsverzeichnis des Zielbenutzers platziert und dann den Benutzer davon überzeugt, eine RDP-Datei (Remote Desktop Protocol) zu öffnen oder ein Programm zu starten, das zum Laden einer vertrauenswürdigen DLL-Datei konzipiert ist, sondern stattdessen die speziell gestaltete DLL-Datei des Angreifers lädt. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausgenutzt hat, kann die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen.

Dieses Sicherheitsupdate ist für alle unterstützten Versionen von Microsoft Window mit Ausnahme von Windows 10 wichtig, was nicht betroffen ist. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der Remotedesktopsitzungshost (RDSH) Zertifikate überprüft und korrigiert, wie RDP bestimmte Binärdateien lädt. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Abschnitt "Sicherheitsrisikeninformationen ".

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3080348.

Betroffene Software

Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

^[1]Kunden, die RDP 7.0 auf unterstützten Editionen von Windows Vista ausführen, benötigen nur Update-3075221. Weitere Informationen finden Sie in den häufig gestellten Fragen zu Updates.

^[2]Kunden, die RDP 8.0 auf unterstützten Editionen von Windows 7 oder Windows Server 2008 R2 ausführen, benötigen nur Update-3075222. Weitere Informationen finden Sie in den häufig gestellten Fragen zu Updates.

^[3]Kunden, die RDP 8.1 auf unterstützten Editionen von Windows 7 oder Windows Server 2008 R2 ausführen, benötigen nur Update-3075226. Weitere Informationen finden Sie in den häufig gestellten Fragen zu Updates.

[4] Dieses Update ist nur über Windows Update verfügbar.

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in einer Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der KB-Nummer des Updates, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen befinden sich auf der Registerkarte "Paketdetails ").

Häufig gestellte Fragen zum Aktualisieren

Ich verwende Windows Vista. Warum wird nicht beide Updates angeboten, die in der Tabelle "Betroffene Software" für Windows Vista aufgeführt sind? 
Das Update, das Sie installieren müssen, hängt davon ab, ob RDP 7.0 auf Ihrem Computer installiert ist:

• Wenn Sie RDP 7.0 nicht installiert haben, müssen Sie nur update-3075220 installieren, um vollständig vor den in diesem Bulletin beschriebenen Sicherheitsrisiken geschützt zu sein.
• Wenn SIE RDP 7.0 installiert haben, müssen Sie nur update-3075221 installieren, um vollständig vor den in diesem Bulletin beschriebenen Sicherheitsrisiken geschützt zu sein.

Weitere Informationen zu RDP 7.0 finden Sie im Microsoft Knowledge Base-Artikel 969084.

Ich verwende Windows 7 oder Windows Server 2008 R2. Warum werde ich nicht alle drei updates angeboten, die in der Tabelle "Betroffene Software" für diese Editionen von Windows aufgeführt sind?
Das Update, das Sie installieren müssen, hängt davon ab, welche Version von RDP Sie auf Ihrem Computer installiert haben:

• Wenn Sie keine Version von RDP installiert haben, müssen Sie nur update-3075220 installieren, um vollständig vor den in diesem Bulletin beschriebenen Sicherheitsrisiken geschützt zu sein.
• Wenn SIE RDP 8.0 installiert haben, müssen Sie nur update-3075222 installieren, um vollständig vor den in diesem Bulletin beschriebenen Sicherheitsrisiken geschützt zu sein.
• Wenn SIE RDP 8.1 installiert haben, müssen Sie nur update-3075226 installieren, um vollständig vor den in diesem Bulletin beschriebenen Sicherheitsrisiken geschützt zu sein.

Weitere Informationen zu RDP 8.0 finden Sie im Microsoft Knowledge Base-Artikel 2592687.

Weitere Informationen zu RDP 8.1 finden Sie im Microsoft Knowledge Base-Artikel 2830477.

Schweregradbewertungen und Sicherheitslücken-IDs

Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Zusammenfassung des Bulletins august.

Informationen zu Sicherheitsrisiken

Sicherheitsanfälligkeit in Remotedesktopsitzungshosts – CVE-2015-2472

Eine Spoofing-Sicherheitsanfälligkeit ist vorhanden, wenn der Remotedesktopsitzungshost (RDSH) zertifikate während der Authentifizierung nicht ordnungsgemäß überprüft. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte die Identität der Clientsitzung imitieren.

Um die Sicherheitsanfälligkeit auszunutzen, könnte ein Angreifer in einem Man-in-the-Middle -Angriff (MiTM) ein nicht vertrauenswürdiges Zertifikat generieren, das dem Ausstellernamen und der Seriennummer der vertrauenswürdigen Zertifikate entspricht. Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie RDSH Zertifikate überprüft.

Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ausgestellt wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Sicherheitsanfälligkeit in Remotedesktopprotokoll-DLL zur Remotecodeausführung – CVE-2015-2473

Eine Sicherheitsanfälligkeit in Remotecodeausführung ist vorhanden, wenn der Microsoft Windows Remote Desktop Protocol-Client das Laden bestimmter speziell gestalteter DLL-Dateien nicht ordnungsgemäß verarbeitet. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen.

Um diese Sicherheitsanfälligkeit auszunutzen, müsste ein Angreifer zunächst eine speziell gestaltete DLL-Datei im aktuellen Arbeitsverzeichnis des Zielbenutzers platzieren und dann den Benutzer davon überzeugen, eine speziell gestaltete RDP-Datei zu öffnen. In einem webbasierten Angriffsszenario kann ein Angreifer eine Website hosten (oder eine kompromittierte Website nutzen, die vom Benutzer bereitgestellte Inhalte akzeptiert oder hostet), die eine speziell gestaltete RDP-Datei enthält, die für die Ausnutzung der Sicherheitsanfälligkeit konzipiert ist. Ein Angreifer hätte keine Möglichkeit, den Benutzer zu erzwingen, die Website zu besuchen. Stattdessen müsste ein Angreifer den Benutzer davon überzeugen, auf einen Link zu klicken, in der Regel durch eine Verlockung in einer E-Mail- oder Instant Messenger-Nachricht.

Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der Windows RDP-Client bestimmte Binärdateien lädt.

Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ausgestellt wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.

Mildernde Faktoren

Die folgenden mildernden Faktoren können in Ihrer Situation hilfreich sein:

• Standardmäßig ist der RDP-Serverdienst auf keinem Windows-Betriebssystem aktiviert. Systeme, für die der RDP-Serverdienst nicht aktiviert ist, sind nicht gefährdet.

Problemumgehungen

Die folgende Problemumgehung kann in Ihrer Situation hilfreich sein:

• Entfernen der RDP-Dateizuordnung

  Warnung beim Fehlerhaften Verwenden des Registrierungs-Editors kann zu schwerwiegenden Problemen führen, die möglicherweise eine Neuinstallation des Betriebssystems erfordern. Microsoft übernimmt keinerlei Garantie dafür, dass Probleme aufgrund nicht ordnungsgemäßer Verwendung des Registrierungs-Editors behoben werden können. Sie verwenden den Registrierungs-Editor auf eigene Verantwortung. Informationen zum Bearbeiten der Registrierung können Sie im Hilfethema "Ändern von Schlüsseln und Werten" im Registrierungs-Editor (Regedit.exe) anzeigen oder die Hilfethemen "Informationen in der Registrierung hinzufügen und löschen" und "Registrierungsdaten bearbeiten" in Regedt32.exe anzeigen.

  Methode 1 (Manuelles Bearbeiten der Systemregistrierung):

  1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "Regedit" in das Feld "Öffnen" ein, und klicken Sie dann auf "OK".

  2. Erweitern Sie HKEY_CLASSES_ROOT, klicken Sie auf RDP. Datei, und klicken Sie dann auf das Menü "Datei", und wählen Sie "Exportieren" aus.

  3. Geben Sie im Dialogfeld "Registrierungsdatei exportieren" die Dateizuordnungsregistrierung "RDPfile HKCR" backup.reg ein, und klicken Sie auf "Speichern". Dadurch wird standardmäßig eine Sicherung dieses Registrierungsschlüssels im Ordner "Eigene Dokumente" erstellt.

  4. Drücken Sie die ENTF-TASTE auf der Tastatur, um den Registrierungsschlüssel zu löschen. Wenn Sie aufgefordert werden, den Registrierungswert zu löschen, klicken Sie auf "Ja".

  5. Navigieren Sie zum folgenden Registrierungsspeicherort:

     HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts
     

  6. Klicken Sie auf RDP, und klicken Sie dann auf das Menü "Datei " und dann auf " Exportieren".

  7. Navigieren Sie zum folgenden Registrierungsspeicherort:

     HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy
     

  8. Geben Sie im Dialogfeld "Registrierungsdatei exportieren" die Registrierungsregistrierung "HKCU-Dateizuordnung" backup.reg ein, und klicken Sie dann auf "Speichern". Dadurch wird standardmäßig eine Sicherung dieses Registrierungsschlüssels im Ordner "Eigene Dokumente" erstellt.

  9. Drücken Sie die ENTF-TASTE auf der Tastatur, um den Registrierungsschlüssel zu löschen. Wenn Sie aufgefordert werden, den Registrierungswert zu löschen, klicken Sie auf "Ja".

  Methode 2 (Verwenden eines skripts für die verwaltete Bereitstellung):

  1. Erstellen Sie eine Sicherungskopie der Registrierungsschlüssel, indem Sie die folgenden Befehle ausführen:

     Regedit.exe /e rdpfile_HKCR_registry_backup.reg HKEY_CLASSES_ROOT\RDP.File 
     Regedit.exe /e rdp_HKCU_registry_backup.reg HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.rdp
     

  2. Speichern Sie Folgendes in einer Datei mit einer . REG-Erweiterung (z. B. Delete_rdp_file_association.reg):

     Windows Registry Editor Version 5.00  
     [-HKEY_CLASSES_ROOT\RDP.File]  
     [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.rdp]
     

  3. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "Regedit" in das Feld "Öffnen" ein, und klicken Sie dann auf "OK".

  4. Führen Sie das Registrierungsskript aus, das Sie in Schritt b auf dem Zielcomputer erstellt haben, mithilfe des folgenden Befehls:

     Regedit.exe /s Delete_rdp_file_association.reg
     

Auswirkungen der Problemumgehung. Durch Doppelklicken auf eine JNT-Datei wird journal.exe

Rückgängigmachen der Problemumgehung

Stellen Sie den Registrierungsschlüssel mithilfe von Regedit wieder her, um die Einstellungen wiederherzustellen, die Sie in der Datei gespeichert haben. REG-Dateien.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (11. August 2015): Bulletin veröffentlicht.
• V1.1 (23. Dezember 2015): Bulletin überarbeitet, um die Updates zu korrigieren, die für die Server Core-Installationsoption unter Windows Server 2008 und Windows Server 2008 R2 ersetzt wurden. Dies ist nur eine Informationsänderung. Kunden, die die Updates erfolgreich installiert haben, müssen keine weiteren Maßnahmen ergreifen.

Seite generiert 2015-12-22 17:33Z-08:00.