• Artikel

Sicherheitsbulletin

Microsoft Security Bulletin MS06-033 – Wichtig

Sicherheitsanfälligkeit in ASP.NET könnte die Offenlegung von Informationen zulassen (917283)

Veröffentlicht: 11. Juli 2006 | Aktualisiert: 29. November 2006

Version: 1.3

Zusammenfassung

Wer sollte dieses Dokument lesen: Kunden, die Microsoft Windows NET Framework 2.0 verwenden

Auswirkungen der Sicherheitsanfälligkeit: Offenlegung von Informationen

Maximale Schweregradbewertung: Wichtig

Empfehlung: Kunden sollten das Update frühestens anwenden.

Ersatz für Sicherheitsupdates: Keine

Vorbehalte:Microsoft Knowledge Base-Artikel 917283 dokumentiert die derzeit bekannten Probleme, die Kunden beim Installieren dieses Sicherheitsupdates auftreten können. Der Artikel dokumentiert auch empfohlene Lösungen für diese Probleme. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 917283.

Getestete Software- und Sicherheitsupdate-Downloadspeicherorte:

Betroffene Software:

.NET Framework 2.0 für die folgenden Betriebssystemversionen: -Laden Sie das Update herunter (KB922481)

  • Microsoft Windows 2000 Service Pack 4
  • Microsoft Windows XP Service Pack 1 oder Windows XP Service Pack 2
  • Microsoft Windows XP Professional x64 Edition
  • Microsoft Windows XP Tablet PC Edition
  • Microsoft Windows XP Media Center Edition
  • Microsoft Windows Server 2003 oder Windows Server 2003 Service Pack 1
  • Microsoft Windows Server 2003 für Itanium-basierte Systeme und Microsoft Windows Server mit SP1 für Itanium-basierte Systeme
  • Microsoft Windows Server 2003 x64 Edition

Nicht betroffene Software:

  • Microsoft .NET Framework 1.0
  • Microsoft .NET Framework 1.1
  • Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) und Microsoft Windows Millennium Edition (Me)

Getestete Microsoft Windows-Komponenten:

Betroffene Komponenten:

  • ASP.NET

Die Software in dieser Liste wurde getestet, um festzustellen, ob die Versionen betroffen sind. Andere Versionen enthalten entweder keine Sicherheitsupdateunterstützung mehr oder sind möglicherweise nicht betroffen. Um den Supportlebenszyklus für Ihr Produkt und Ihre Version zu ermitteln, besuchen Sie die website Microsoft-Support Lifecycle.

Beachten Sie die Sicherheitsupdates für Microsoft Windows Server 2003, Windows Server 2003 Service Pack 1 und Windows Server 2003 x64 Edition gelten auch für Windows Server 2003 R2.

Allgemeine Informationen

Kurzfassung

Zusammenfassung:

Dieses Update behebt eine neu entdeckte, privat gemeldete Sicherheitsanfälligkeit. Die Sicherheitsanfälligkeit ist im Abschnitt "Sicherheitsrisikendetails" dieses Bulletins dokumentiert.

Diese Sicherheitsanfälligkeit könnte es einem Angreifer ermöglichen, ASP.Net Sicherheit zu umgehen und nicht autorisierten Zugriff auf Objekte im Anwendungsordner explizit anhand des Namens zu erlangen. Beachten Sie, dass diese Sicherheitsanfälligkeit es einem Angreifer nicht gestatten würde, Code auszuführen oder seine Benutzerrechte direkt zu erhöhen, es könnte jedoch verwendet werden, um nützliche Informationen zu erstellen, mit denen versucht werden könnte, das betroffene System weiter zu kompromittieren.

Es wird empfohlen, dass Kunden das Update frühestens anwenden.

Schweregradbewertungen und Sicherheitslücken-IDs:

Sicherheitslücken-IDs Auswirkungen der Sicherheitsanfälligkeit .NET Framework 2.0
Sicherheitsanfälligkeit in .NET 2.0-Anwendungsordnern bezüglich Offenlegung von Informationen – CVE-2006-1300 Veröffentlichung von Informationen Wichtig

Diese Bewertung basiert auf den Arten von Systemen, die von der Sicherheitsanfälligkeit betroffen sind, ihren typischen Bereitstellungsmustern und dem Effekt, dass die Sicherheitsanfälligkeit ausgenutzt wird.

Beachten Sie die Sicherheitsupdates für Microsoft Windows Server 2003, Windows Server 2003 Service Pack 1 und Windows Server 2003 x64 Edition gelten auch für Windows Server 2003 R2.

Beachten Sie , dass die Schweregradbewertungen für Nicht-x86-Betriebssystemversionen den x86-Betriebssystemversionen wie folgt zugeordnet sind:

  • Die Schweregradbewertung von Microsoft Windows XP Professional x64 Edition entspricht der Schweregradbewertung von Windows XP Service Pack 2.
  • Die Schweregradbewertung von Microsoft Windows Server 2003 für Itanium-basierte Systeme entspricht der Schweregradbewertung von Windows Server 2003.
  • Die Schweregradbewertung von Microsoft Windows Server 2003 mit SP1 für Itanium-basierte Systeme entspricht der Schweregradbewertung von Windows Server 2003 Service Pack 1.
  • Die Schweregradbewertung der Microsoft Windows Server 2003 x64 Edition ist identisch mit der Schweregradbewertung von Windows Server 2003 Service Pack 1.

Was sind die bekannten Probleme, die Kunden beim Installieren dieses Sicherheitsupdates feststellen können?

Microsoft Knowledge Base-Artikel 917283 dokumentiert die derzeit bekannten Probleme, die Kunden bei der Installation dieses Sicherheitsupdates auftreten können. Der Artikel dokumentiert auch empfohlene Lösungen für diese Probleme. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 917283.

  • Microsoft Knowledge Base-Artikel 923100 : Sie können das Sicherheitsupdate nicht installieren, das das Sicherheitsbulletin MS06-033 beschreibt, oder Sie erhalten möglicherweise einen Fehlercode "0x643".
  • Microsoft Knowledge Base-Artikel 923101 : Fehlermeldung, wenn Sie versuchen, Sicherheitsupdate 917283 auf einem Computer zu installieren, auf dem Windows Server 2003 ausgeführt wird: "Fehler 1324. Der Ordner "Programme" enthält ein ungültiges Zeichen"
  • Microsoft Knowledge Base-Artikel 929110 : Ein Dateisystem, bei dem die Groß-/Kleinschreibung beachtet wurde, wird nach der Installation eines Updates für .NET Framework 2.0 (929110) nicht beachtet.

Der erweiterte Sicherheitsupdatesupport für Microsoft Windows NT Workstation 4.0 Service Pack 6a und Windows 2000 Service Pack 2 endete am 30. Juni 2004. Der erweiterte Sicherheitsupdatesupport für Microsoft Windows NT Server 4.0 Service Pack 6a endete am 31. Dezember 2004. Der erweiterte Sicherheitsupdatesupport für Microsoft Windows 2000 Service Pack 3 endete am 30. Juni 2005. Ich verwende noch eines dieser Betriebssysteme, was soll ich tun?
Windows NT Workstation 4.0 Service Pack 6a, Windows NT Server 4.0 Service Pack 6a, Windows 2000 Service Pack 2 und Windows 2000 Service Pack 3 haben das Ende ihrer Lebenszyklus erreicht. Es sollte eine Priorität für Kunden sein, die über diese Betriebssystemversionen verfügen, um zu unterstützten Versionen zu migrieren, um potenzielle Gefährdungen durch Sicherheitsrisiken zu verhindern. Weitere Informationen zum Windows-Produktlebenszyklus finden Sie auf der folgenden Microsoft-Support Lifecycle-Website. Weitere Informationen zum erweiterten Sicherheitsupdate-Supportzeitraum für diese Betriebssystemversionen finden Sie auf der Website für Microsoft-Produktsupportdienste.

Kunden, die benutzerdefinierten Support für diese Produkte benötigen, müssen sich an ihren Microsoft-Kontoteammitarbeiter, ihren Technical Account Manager oder den entsprechenden Microsoft-Partnermitarbeiter wenden, um benutzerdefinierte Supportoptionen zu erhalten. Kunden ohne Allianz-, Premier- oder autorisierten Vertrag können sich an ihr lokales Microsoft-Vertriebsbüro wenden. Wenn Sie Kontaktinformationen benötigen, besuchen Sie die Microsoft Worldwide Information-Website, wählen Sie das Land aus, und klicken Sie dann auf "Gehe ", um eine Liste der Telefonnummern anzuzeigen. Wenn Sie anrufen, bitten Sie, mit dem lokalen Premier Support Sales Manager zu sprechen. Weitere Informationen finden Sie in den Häufig gestellten Fragen zum Supportlebenszyklus des Windows-Betriebssystems.

Kann ich den Microsoft Baseline Security Analyzer (MBSA) verwenden, um zu bestimmen, ob dieses Update erforderlich ist?
Die folgende Tabelle enthält die MBSA-Erkennungszusammenfassung für dieses Sicherheitsupdate.

Produkt MBSA 1.2.1 Enterprise Update Scan Tool (EST) MBSA 2.0
.NET Framework 2.0 No Ja Ja

Weitere Informationen zu MBSA finden Sie auf der MBSA-Website. Weitere Informationen zu der Software, die microsoft Update und MBSA 2.0 derzeit nicht erkennen, finden Sie im Microsoft Knowledge Base-Artikel 895660.

Was ist dasEnterpriseUpdate Scan Tool (EST)?
Als Teil einer kontinuierlichen Verpflichtung zur Bereitstellung von Erkennungstools für Sicherheitsupdates der Bulletinklasse stellt Microsoft ein eigenständiges Erkennungstool bereit, wenn der Microsoft Baseline Security Analyzer (MBSA) und das Office Detection Tool (ODT) nicht erkennen können, ob das Update für einen MSRC-Veröffentlichungszyklus erforderlich ist. Dieses eigenständige Tool wird als Enterprise Update Scan Tool (EST) bezeichnet und richtet sich an Unternehmensadministratoren. Wenn eine Version des Enterprise Update Scan Tool für ein bestimmtes Bulletin erstellt wird, können Kunden das Tool über eine Befehlszeilenschnittstelle (CLI) ausführen und die Ergebnisse der XML-Ausgabedatei anzeigen. Um kunden dabei zu helfen, das Tool besser zu nutzen, werden detaillierte Dokumentationen mit dem Tool bereitgestellt. Es gibt auch eine Version des Tools, die eine integrierte Oberfläche für SMS-Administratoren bietet.

Kann ich eine Version desEnterpriseUpdate Scan Tool (EST) verwenden, um festzustellen, ob dieses Update erforderlich ist?
Ja. Microsoft hat eine Version von EST erstellt, die bestimmt, ob Sie dieses Update anwenden müssen. Downloadlinks und weitere Informationen zur Version der EST, die in diesem Monat veröffentlicht wird, finden Sie auf der folgenden Microsoft-Website. SMS-Kunden sollten den Artikel "Kann ich Systems Management Server (SMS) verwenden, um festzustellen, ob dieses Update erforderlich ist?" Häufig gestellte Fragen zu weiteren Informationen zu SMS und EST.

Kann ich den Systems Management Server (SMS) verwenden, um festzustellen, ob dieses Update erforderlich ist?
Die folgende Tabelle enthält die SMS-Zusammenfassung für dieses Sicherheitsupdate.

Produkt SMS 2.0 SMS 2003
.NET Framework 2.0 Ja (mit dem EST) Ja

SMS verwendet MBSA zur Erkennung. Daher hat SMS die gleiche Einschränkung, die weiter oben in diesem Bulletin im Zusammenhang mit Software aufgeführt ist, die MBSA nicht erkennt.

Für SMS 2.0 kann das SMS SUS Feature Pack, das das Sicherheitsupdateinventartool enthält, von SMS verwendet werden, um Sicherheitsupdates zu erkennen. SMS SUIT verwendet das MBSA 1.2.1-Modul zur Erkennung. Weitere Informationen zum Sicherheitsupdateinventartool finden Sie auf der folgenden Microsoft-Website. Weitere Informationen zu den Einschränkungen des Sicherheitsupdateinventartools finden Sie im Microsoft Knowledge Base-Artikel 306460. Das SMS SUS Feature Pack enthält auch das Microsoft Office Inventory Tool, um erforderliche Updates für Microsoft Office-App lications zu erkennen.

Für SMS 2003 kann das SMS 2003 Inventory Tool für Microsoft Updates von SMS verwendet werden, um Sicherheitsupdates zu erkennen, die von Microsoft Update angeboten werden und von Windows Server Update Services unterstützt werden. Weitere Informationen zum SMS 2003 Inventory Tool für Microsoft Updates finden Sie auf der folgenden Microsoft-Website. SMS 2003 kann auch das Microsoft Office Inventory Tool verwenden, um erforderliche Updates für Microsoft Office-App lizenzierungen zu erkennen.

Weitere Informationen zu SMS finden Sie auf der SMS-Website.

Sicherheitsrisikodetails

Sicherheitsanfälligkeit in .NET 2.0-Anwendungsordnern bezüglich Offenlegung von Informationen – CVE-2006-1300

Diese Sicherheitslücke zur Offenlegung von Informationen könnte es einem Angreifer ermöglichen, ASP.Net Sicherheit zu umgehen und nicht autorisierten Zugriff auf Objekte in den Anwendungsordnern explizit anhand des Namens zu erlangen. Beachten Sie, dass diese Sicherheitsanfälligkeit es einem Angreifer nicht gestatten würde, Code auszuführen oder seine Benutzerrechte direkt zu erhöhen, es könnte jedoch verwendet werden, um nützliche Informationen zu erstellen, mit denen versucht werden könnte, das betroffene System weiter zu kompromittieren.

Mildernde Faktoren für die Sicherheitsanfälligkeit in .NET 2.0-Anwendungsordnern – CVE-2006-1300:

  • Das Verzeichnisbrowsen ist in Anwendungsordnerverzeichnissen standardmäßig nicht aktiviert. Ein Angreifer müsste die Namen der Dateien erraten oder kennen, die er abrufen oder anzeigen möchte.

  • Standardmäßig werden Dateierweiterungen, die von Visual Studio und ASP.NET Webprojekten verwendet werden, dem aspnet_isapi.dll System.Web.HttpForbiddenHandler zugeordnet und daher können Dateien mit diesen Erweiterungen nicht mithilfe dieser Sicherheitsanfälligkeit remote abgerufen oder angezeigt werden.
    Hier ist die vollständige Liste der Dateierweiterungen, die geschützt sind (und nicht anfällig): *.asax, *.ascx, *.master, *.skin, *.browser, *.sitemap, *.config (jedoch nicht *.exe.config oder *.dll.config), *.cs, *.csproj, *.vb, *.vbproj, *.webinfo, *.licx, *.resx, *.resources, *.mdb, *.vjsproj, *.java, *.dd, *.jsl, *.ldb, *.ad, *.ldd, *.sd, *.cd, *.adprototype, *.lddprototype, *.sdm, *.sdm, *.mdf, *.ldf, *.exclude, *.refresh

  • IIS 6.0 sendet keine Dateitypen, die keine MIME-Zuordnung für IIS 6.0 definiert haben. IIS 6.0 speichert nur die zulässigen MIME-Zuordnungen in der Metabasis.
    Wenn sich beispielsweise ein benutzerdefinierter Dateityp mit der Dateierweiterung ".data" im Ordner "app_data" auf einem IIS6-Server befindet, es jedoch keine MIME-Zuordnung für DATENdateien gibt, die in IIS oder in der Windows-Registrierung auf diesem Server definiert sind, wird Internetinformationsdienste (IIS) diesen Dateityp nicht bedienen und gibt einen Fehler von 404 zurück (unabhängig davon, in welchem Ordner/Verzeichnis sich die Datei befindet).

  • Kunden, die URLScan verwenden, die die Anleitungen im Knowledge Base-Artikel 815155 zum Härten ASP.NET Webanwendungen befolgt haben, sind von dieser Sicherheitsanfälligkeit weniger gefährdet.

Problemumgehungen für die Sicherheitsanfälligkeit in .NET 2.0-Anwendungsordnern – CVE-2006-1300

Microsoft hat die folgenden Problemumgehungen getestet. Obwohl diese Problemumgehungen die zugrunde liegende Sicherheitsanfälligkeit nicht korrigieren, helfen sie dabei, bekannte Angriffsvektoren zu blockieren. Wenn eine Problemumgehung die Funktionalität reduziert, wird sie im folgenden Abschnitt identifiziert.

  • Entfernen Sie die Berechtigung "Lesen" aus allen ASP.NET 2.0-Anwendungsordnern.
    Das Entfernen der Berechtigungen "Lesen" für Webinhalte trägt zum Schutz des betroffenen Systems vor Versuchen bei, diese Sicherheitsanfälligkeit auszunutzen.

So legen Sie Berechtigungen für Webinhalte unter Windows 2000 unter Verwendung von IIS5.0 mithilfe der Microsoft Management Console (MMC) fest:

  1. Klicken Sie auf "Start", und klicken Sie dann auf "Ausführen", und geben Sie "%systemroot%\system32\inetsrv\iis.msc" ein.
  2. Wenn das MMC-Snap-In "Internetinformationsdienste" geladen wird, klicken Sie im linken Bereich auf das Pluszeichen (+) neben dem Computernamen, um die Liste der auf diesem Server gehosteten Websites zu erweitern.
  3. Erweitern Sie die erste Website, indem Sie auf das Pluszeichen (+) daneben klicken.
  4. Klicken Sie für jeden ASP.NET 2.0 "Anwendungsordner" mit der rechten Maustaste auf den Ordner, und wählen Sie "Eigenschaften" aus, um eine vollständige Liste der ASP.NET 2.0 "Anwendungsordner" auf dieser Website zu finden.
  5. Deaktivieren Sie auf der Registerkarte "Verzeichnis" oder "Virtuelles Verzeichnis" das Kontrollkästchen neben "Lesen", und drücken Sie "OK".
  6. Wiederholen Sie Schritt 3 für jede Website und Anwendung, die auf dem Server gehostet wird.

So legen Sie Berechtigungen für Webinhalte unter Windows 2003 mit IIS 6.0 mithilfe der Microsoft Management Console (MMC) fest:

  1. Klicken Sie auf "Start", klicken Sie auf "Ausführen ", und geben Sie dann Folgendes ein: %systemroot%\system32\inetsrv\iis.msc
  2. Wenn das MMC-Snap-In "Internetinformationsdienste" geladen wurde, klicken Sie im linken Bereich auf das Pluszeichen (+) neben dem Computernamen.
  3. Klicken Sie auf das Pluszeichen (+) neben dem Ordner "Websites", um die Liste der auf diesem Server gehosteten Websites zu erweitern.
  4. Erweitern Sie die erste Website, indem Sie auf das Pluszeichen (+) daneben klicken.
  5. Klicken Sie für jeden ASP.NET 2.0 "Anwendungsordner" mit der rechten Maustaste auf den Ordner, und wählen Sie "Eigenschaften" aus, um eine vollständige Liste der ASP.NET 2.0 "Anwendungsordner" auf dieser Website zu finden.
  6. Deaktivieren Sie auf der Registerkarte "Verzeichnis" oder "Virtuelles Verzeichnis" das Kontrollkästchen neben "Lesen", und drücken Sie "OK".
  7. Wiederholen Sie Schritt 4 für jede Website und Anwendung, die auf dem Server gehostet wird.

Auswirkungen der Problemumgehung: Das Verweigern des Lesezugriffs auf das virtuelle Verzeichnis würde die Spiegelung blockieren und verhindert daher das Remotedebugging.

  • Verwenden Sie URLScan mit der Einstellung "DenyUrlSequences", um URLs zu verbieten, die geschützte Dateierweiterungen anfordern.
    1. Wenn URLScan bereits installiert ist, erstellen Sie eine Sicherungskopie der URLScan.ini, bevor Sie mit dem nächsten Schritt fortfahren.
    2. Konfigurieren Sie den URLScan.ini (standardmäßig im Ordner "%windir%\system32\inetsrv\urlscan") mit den folgenden Einstellungen:
    3. Stellen Sie im Abschnitt [Optionen] sicher, dass NormalizeUrlBeforeScan auf 1 festgelegt ist.
    4. Stellen Sie im Abschnitt [Optionen] sicher, dass "VerifyNormalization" auf "1" festgelegt ist.
    5. Stellen Sie im Abschnitt [DenyUrlSequences] sicher, dass das umgekehrte Schrägstrichzeichen "\" aufgelistet ist.
    6. Starten Sie IIS erneut, damit die Änderungen wirksam werden.

Beachten Sie, dass die oben genannten Einstellungen standardmäßig in Versionen von URLScan aktiviert sind, die vom IIS-Sperrmodus-Assistenten und für alle eigenständigen Installationen von URLScan 2.5 installiert sind.

Hinweis Weitere Informationen zum Konfigurieren von URLScan für die Arbeit mit ASP.NET Anwendungen finden Sie im Knowledge Base-Artikel 815155.

Auswirkungen der Problemumgehung: Falsche Konfiguration von URLScan könnte verhindern, dass einige Webanwendungen ordnungsgemäß funktionieren.

  • Verwenden Sie Dateierweiterungen für Dateien in den Ordnern App_*, die nicht ASP.NET zugeordnet sind und keine MIME-Typzuordnung aufweisen, die IIS verwenden kann.
    Wenn eine statische Dateierweiterung keine MIME-Typzuordnung Internetinformationsdienste 6.0 (IIS) hat, wird sie nicht bedient**.**

Auswirkungen der Problemumgehung: Keine

Häufig gestellte Fragen zur Sicherheitsanfälligkeit in .NET 2.0-Anwendungsordnern – CVE-2006-1300:

Was ist der Umfang der Sicherheitsanfälligkeit?
Diese Sicherheitslücke zur Offenlegung von Informationen könnte es einem Angreifer ermöglichen, ASP.Net Sicherheit zu umgehen und nicht autorisierten Zugriff auf Objekte im Anwendungsordner explizit anhand des Namens zu erlangen. Beachten Sie, dass diese Sicherheitsanfälligkeit es einem Angreifer nicht gestatten würde, Code auszuführen oder seine Benutzerrechte direkt zu erhöhen, es könnte jedoch verwendet werden, um nützliche Informationen zu erstellen, mit denen versucht werden könnte, das betroffene System weiter zu kompromittieren.

Was verursacht die Sicherheitsanfälligkeit?
ASP .NET 2.0 überprüft die übergebene URL nicht ordnungsgemäß.

Was ist ASP.NET?
ASP.NET ist eine Sammlung von Technologien in the.NET Framework, mit denen Entwickler Webanwendungen und XML-Webdienste erstellen können. Im Gegensatz zu herkömmlichen Webseiten, die eine Kombination aus statischem HTML und Skripting verwenden, verwendet ASP.NET kompilierte, ereignisgesteuerte Seiten. Auf diese Weise können Entwickler webbasierte Anwendungen mit der gleichen Fülle und Funktionalität erstellen, die normalerweise mit Anwendungen verknüpft ist, die in Sprachen wie Visual Basic oder Visual C++ integriert sind. Da ASP.NET eine webbasierte Anwendungsumgebung ist, muss ein zugrunde liegender Webserver grundlegende HTTP-Funktionen bereitstellen. Aus diesem Grund wird ASP.NET unter Windows 2000, IIS 5.1 unter Windows XP und IIS 6.0 unter Windows Server 2003 auf IIS 5.0 ausgeführt.

Was kann ein Angreifer tun, um die Sicherheitsanfälligkeit zu tun?
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte nicht autorisierten Zugriff auf Teile einer Website erhalten. Die Aktionen, die der Angreifer ergreifen könnte, hängt davon ab, welche Inhalte geschützt werden.

Wer könnte die Sicherheitsanfälligkeit ausnutzen?
In einem webbasierten Angriffsszenario müsste ein Angreifer Zugriff auf eine Website haben, die einen Anwendungsordner enthält, um zu versuchen, diese Sicherheitsanfälligkeit auszunutzen. Beachten Sie, dass diese Sicherheitsanfälligkeit es einem Angreifer nicht gestatten würde, Code auszuführen oder seine Benutzerrechte direkt zu erhöhen, es könnte jedoch verwendet werden, um nützliche Informationen zu erstellen, mit denen versucht werden könnte, das betroffene System weiter zu kompromittieren.

Welche Systeme sind in erster Linie durch die Sicherheitsanfälligkeit gefährdet?
Internet-gerichtete Systeme sind in erster Linie durch diese Sicherheitsanfälligkeit gefährdet. Darüber hinaus können interne Websites, die ASP.NET zum Hosten vertraulicher Daten verwenden, durch diese Sicherheitsanfälligkeit gefährdet sein.

Könnte die Sicherheitsanfälligkeit über das Internet ausgenutzt werden?
Ja. Ein Angreifer könnte versuchen, diese Sicherheitsanfälligkeit über das Internet auszunutzen.

Was geschieht mit dem Update?
Das Update entfernt die Sicherheitsanfälligkeit, indem die Art und Weise geändert wird, wie ASP.NET URL-Pfade überprüft.

Als dieses Sicherheitsbulletin ausgegeben wurde, wurde diese Sicherheitsanfälligkeit öffentlich offengelegt?
Nein Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung erhalten. Microsoft hatte keine Informationen erhalten, um darauf hinzuweisen, dass diese Sicherheitsanfälligkeit öffentlich offengelegt wurde, als dieses Sicherheitsbulletin ursprünglich ausgestellt wurde.

Als dieses Sicherheitsbulletin ausgegeben wurde, erhielt Microsoft alle Berichte, dass diese Sicherheitsanfälligkeit ausgenutzt wurde?
Nein Microsoft hatte keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde und keine Beispiele für Machbarkeitscode angezeigt wurden, der veröffentlicht wurde, als dieses Sicherheitsbulletin ursprünglich ausgestellt wurde.

Sicherheitsupdateinformationen

Betroffene Software:

Klicken Sie auf den entsprechenden Link, um Informationen zum spezifischen Sicherheitsupdate für Ihre betroffene Software zu erhalten:

Microsoft .NET Framework, Version 2.0

Voraussetzungen
Für dieses Sicherheitsupdate ist microsoft .NET Framework, Version 2.0, erforderlich.

Microsoft Windows Installer 3.1 muss installiert sein. Um die neueste Version von Windows Installer zu installieren, besuchen Sie die folgende Microsoft-Website:

Windows Installer 3.1 Redistributable (v2)

Aufnahme in zukünftige Service Packs:
Das Update für dieses Problem ist in Microsoft .NET Framework, Version 2.0 Service Pack 1 enthalten.

Installationsinformationen

Dieses Sicherheitsupdate unterstützt die folgenden Setupoptionen.

Schalter Beschreibung
/help Zeigt die Befehlszeilenoptionen an.
Setupmodi
/quiet Stiller Modus. Dies ist identisch mit dem unbeaufsichtigten Modus, aber es werden keine Status- oder Fehlermeldungen angezeigt.
Optionen für den Neustart
/norestart Startet nicht neu, wenn die Installation abgeschlossen ist.
/forcerestart Startet den Computer nach der Installation neu und erzwingt, dass andere Anwendungen beim Herunterfahren geschlossen werden, ohne zuerst geöffnete Dateien zu speichern.
/warnrestart[:x] Zeigt ein Dialogfeld mit einer Timerwarnung an, dass der Computer in x Sekunden neu gestartet wird. (Die Standardeinstellung beträgt 30 Sekunden.) Vorgesehen für die Verwendung mit dem /quiet Schalter oder den /passiven Schaltern .
/promptrestart Zeigt ein Dialogfeld an, in dem der lokale Benutzer aufgefordert wird, einen Neustart zuzulassen.
Sonderoptionen
/overwriteoem Überschreibt OEM-Dateien ohne Aufforderung.
/nobackup Dateien, die für die Deinstallation erforderlich sind, werden nicht gesichert.
/forceappsclose Erzwingt, dass andere Programme geschlossen werden, wenn der Computer heruntergefahren wird.
/log:path Ermöglicht die Umleitung von Installationsprotokolldateien.
/integrate:path Integriert das Update in die Windows-Quelldateien. Diese Dateien befinden sich im Pfad, der in der Option angegeben ist.
/extract[:p ath] Extrahiert Dateien, ohne das Setupprogramm zu starten.
/ER Aktiviert die erweiterte Fehlerberichterstattung.
/verbose Aktiviert ausführliche Protokollierung. Erstellt während der Installation %Windir%\CabBuild.log. In diesem Protokoll werden die dateien beschrieben, die kopiert werden. Die Verwendung dieses Switches kann dazu führen, dass die Installation langsamer fortgesetzt wird.

Hinweis : Sie können diese Schalter in einem Einzigen Befehl kombinieren. Aus Gründen der Abwärtskompatibilität unterstützt das Sicherheitsupdate auch die Setupoptionen, die von der früheren Version des Setupprogramms verwendet werden. Weitere Informationen zu den unterstützten Installationsoptionen finden Sie im Microsoft Knowledge Base-Artikel 262841. Weitere Informationen zum Update.exe Installer finden Sie auf der Microsoft TechNet-Website.

Bereitstellungsinformationen

Um das Sicherheitsupdate ohne Benutzereingriff zu installieren, verwenden Sie den folgenden Befehl an einer Eingabeaufforderung:

NDP20-KB917283-x86.exe /quiet

NDP20-KB917283-x64.exe /quiet

NDP20-KB917283-xia64.exe /quiet

Hinweis: Die Verwendung des Schalters "/quiet " unterdrückt alle Nachrichten. Dies schließt das Unterdrücken von Fehlermeldungen ein. Administratoren sollten eine der unterstützten Methoden verwenden, um zu überprüfen, ob die Installation erfolgreich war, wenn sie den Schalter "/quiet " verwenden. Administratoren sollten auch die KB917283.log Datei auf Fehlermeldungen überprüfen, wenn sie diese Option verwenden.

Um das Sicherheitsupdate zu installieren, ohne dass das System neu gestartet werden muss, verwenden Sie den folgenden Befehl an einer Eingabeaufforderung:

NDP20-KB917283-x86.exe /norestart

NDP20-KB917283-x64.exe /norestart

NDP20-KB917283-xia64.exe /quiet

Weitere Informationen zur Bereitstellung dieses Sicherheitsupdates mit Software Update Services finden Sie auf der Website "Software Update Services".

Neustartanforderung Für dieses Update ist kein Neustart erforderlich. Das Installationsprogramm beendet die erforderlichen Dienste, wendet das Update an und startet dann die Dienste neu. Wenn die erforderlichen Dienste jedoch aus irgendeinem Grund nicht beendet werden können oder erforderliche Dateien verwendet werden, erfordert dieses Update einen Neustart. Wenn dieses Verhalten auftritt, wird eine Meldung angezeigt, in der Sie aufgefordert werden, den Neustart durchzuführen.

Um die Wahrscheinlichkeiten zu verringern, dass ein Neustart erforderlich ist, beenden Sie alle betroffenen Dienste, und schließen Sie alle Anwendungen, die die betroffenen Dateien vor der Installation des Sicherheitsupdates verwenden können. Weitere Informationen zu den Gründen, warum Sie möglicherweise aufgefordert werden, Ihren Computer neu zu starten, finden Sie im Microsoft Knowledge Base-Artikel 887012.

Entfernen von Informationen Zum Entfernen dieses Updates verwenden Sie das Tool "Programme hinzufügen oder entfernen" in Systemsteuerung.

Dateiinformationen Die englische Version dieses Updates weist die Dateiattribute (oder höher) auf, die in der folgenden Tabelle aufgeführt sind. Die Datums- und Uhrzeitangaben für diese Dateien werden in koordinierter Weltzeit (UTC) aufgeführt. Wenn Sie die Dateiinformationen anzeigen, wird sie in die lokale Zeit konvertiert. Um den Unterschied zwischen UTC und Ortszeit zu ermitteln, verwenden Sie die Registerkarte "Zeitzone" im Tool "Datum und Uhrzeit" in Systemsteuerung.

Microsoft .NET Framework, Version 2.0

Dateiname Version Datum Zeit Size
Aspnet_filter.dll 2.0.50727.101 14. Apr.2006 06:08 10.752

Microsoft .NET Framework, Version 2.0 unter Windows Server, 2003 Enterprise Edition für Itanium-basierte Systeme; Windows Server 2003, Datacenter Edition für Itanium-basierte Systeme; Windows Server 2003, Enterprise Edition mit SP1 für Itanium-basierte Systeme; und Windows Server 2003, Datacenter Edition mit SP1 für Itanium-basierte Systeme:

Dateiname Version Datum Zeit Size
Aspnet_filter.dll 2.0.50727.101 14. Apr.2006 04:03 34,304

Microsoft .NET Framework, Version 2.0 für Windows Server 2003, Standard x64 Edition; Windows Server 2003, Enterprise x64 Edition; und Windows Server 2003, Datacenter x64 Edition; Windows Server 2003 R2, Standard x64 Edition; Windows Server 2003 R2, Enterprise x64 Edition; und Windows Server 2003 R2, Datacenter x64 Edition:

Dateiname Version Datum Zeit Size
Aspnet_filter.dll 2.0.50727.101 14. Apr.2006 06:08 10.752

Überprüfen der Updateinstallation

  • Überprüfung der Dateiversion
    Hinweis : Da es mehrere Versionen von Microsoft Windows gibt, können die folgenden Schritte auf Ihrem Computer unterschiedlich sein. Wenn dies der Artikel ist, lesen Sie Ihre Produktdokumentation, um diese Schritte auszuführen.

    1. Klicken Sie auf "Start" und dann auf "Suchen".
    2. Klicken Sie im Bereich "Suchergebnisse" unter "Begleiter suchen" auf "Alle Dateien und Ordner".
    3. Geben Sie im Feld "Alle" oder "Teil des Dateinamens" einen Dateinamen aus der entsprechenden Dateiinformationstabelle ein, und klicken Sie dann auf "Suchen".
    4. Klicken Sie in der Liste der Dateien mit der rechten Maustaste auf einen Dateinamen aus der entsprechenden Dateiinformationstabelle, und klicken Sie dann auf "Eigenschaften".
    5. Ermitteln Sie auf der Registerkarte "Version " die Version der Datei, die auf Ihrem Computer installiert ist, indem Sie sie mit der Version vergleichen, die in der entsprechenden Dateiinformationstabelle dokumentiert ist.
      Note Attributes other than file version may change during installation. Der Vergleich anderer Dateiattribute mit den Informationen in der Dateiinformationstabelle ist keine unterstützte Methode zum Überprüfen der Updateinstallation. In bestimmten Fällen können Dateien auch während der Installation umbenannt werden. Wenn die Datei- oder Versionsinformationen nicht vorhanden sind, verwenden Sie eine der anderen verfügbaren Methoden, um die Updateinstallation zu überprüfen.

Sonstige Informationen

Bestätigungen

Microsoft danke ihnen für die Zusammenarbeit mit uns, um Kunden zu schützen:

  • Urs Eichmann von PRISMA Informatik zur Meldung der Sicherheitsanfälligkeit in Anwendungsordnern zur Offenlegung von Informationen – CVE-2006-1300

Abrufen anderer Sicherheitsupdates:

Updates für andere Sicherheitsprobleme sind an den folgenden Speicherorten verfügbar:

  • Sicherheitsupdates sind im Microsoft Download Center verfügbar. Sie können sie am einfachsten finden, indem Sie eine Schlüsselwort (keyword) Suche nach "security_patch" ausführen.
  • Updates für Consumerplattformen sind auf der Microsoft Update-Website verfügbar.

Unterstützungswert:

  • Kunden in den USA und Kanada können technischen Support von Microsoft Product Support Services bei 1-866-PCSAFETY erhalten. Es fallen keine Gebühren für Supportanrufe an, die Sicherheitsupdates zugeordnet sind.
  • Internationale Kunden können Support von ihren lokalen Microsoft-Tochtergesellschaften erhalten. Es gibt keine Kosten für Support, die Sicherheitsupdates zugeordnet sind. Weitere Informationen zum Kontaktieren von Microsoft für Supportprobleme finden Sie auf der Website für den internationalen Support.

Sicherheitsressourcen:

Software Update Services:

Mithilfe von Microsoft Software Update Services (SUS) können Administratoren schnell und zuverlässig die neuesten kritischen Updates und Sicherheitsupdates auf Windows 2000- und Windows Server 2003-basierten Servern und Desktopsystemen bereitstellen, die Windows 2000 Professional oder Windows XP Professional ausführen.

Weitere Informationen zum Bereitstellen von Sicherheitsupdates mithilfe von Software Update Services finden Sie auf der Website "Software Update Services".

Windows Server Update Services:

Mithilfe von Windows Server Update Services (WSUS) können Administratoren die neuesten kritischen Updates und Sicherheitsupdates für Windows 2000-Betriebssysteme und höher, Office XP und höher, Exchange Server 2003 und SQL Server 2000 auf Windows 2000 und höher auf Windows 2000 und höher bereitstellen.

Weitere Informationen zum Bereitstellen von Sicherheitsupdates mit Windows Server Update Services finden Sie auf der Windows Server Update Services-Website.

Systems Management Server:

Microsoft Systems Management Server (SMS) bietet eine hochgradig konfigurierbare Unternehmenslösung zum Verwalten von Updates. Mithilfe von SMS können Administratoren Windows-basierte Systeme identifizieren, die Sicherheitsupdates erfordern, und die kontrollierte Bereitstellung dieser Updates im gesamten Unternehmen mit minimalen Unterbrechungen für Endbenutzer durchführen. Weitere Informationen dazu, wie Administratoren SMS 2003 zum Bereitstellen von Sicherheitsupdates verwenden können, finden Sie auf der Website SMS 2003 Security Patch Management. SMS 2.0-Benutzer können auch das Feature Pack für Softwareupdates verwenden, um Sicherheitsupdates bereitzustellen. Informationen zu SMS finden Sie auf der SMS-Website.

Hinweis SMS verwendet den Microsoft Baseline Security Analyzer, das Microsoft Office Detection Tool und das Enterprise Update Scanning Tool, um umfassende Unterstützung für die Erkennung und Bereitstellung von Sicherheitsupdates zu bieten. Einige Softwareupdates werden möglicherweise nicht von diesen Tools erkannt. Administratoren können die Bestandsfunktionen der SMS in diesen Fällen verwenden, um Updates auf bestimmte Systeme abzuzielen. Weitere Informationen zu diesem Verfahren finden Sie auf der folgenden Website. Einige Sicherheitsupdates erfordern administratorrechtliche Rechte nach einem Neustart des Systems. Administratoren können das Bereitstellungstool für erhöhte Rechte (verfügbar im SMS 2003 Administration Feature Pack und im SMS 2.0 Administration Feature Pack) verwenden, um diese Updates zu installieren.

Haftungsausschluss:

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen:

  • V1.0 (11. Juli 2006): Bulletin veröffentlicht.
  • V1.1 (11. Juli 2006): Bulletin aktualisiert Abschnitt "Vorbehalte".
  • V1.2 (19. Juli 2006): Bulletin aktualisiert Abschnitt "Vorbehalte". Zusätzliche Klarheit in Bezug auf "Voraussetzungen" und "Installationsinformationen" für "Microsoft .NET Framework, Version 2.0" im Abschnitt "Sicherheitsupdateinformationen".
  • V1.3 (29. November 2006): Bulletin aktualisierte Abschnitt "Vorbehalte" und "Was sind die bekannten Probleme, die Kunden beim Installieren dieses Sicherheitsupdates feststellen können?" unter dem Abschnitt "Häufig gestellte Fragen (FAQ) im Zusammenhang mit diesem Sicherheitsupdate".

Gebaut am 2014-04-18T13:49:36Z-07:00