Sicherheitsbulletin

Microsoft Security Bulletin MS07-054 – Wichtig

Sicherheitsanfälligkeit in MSN Messenger und Windows Live Messenger könnte Remotecodeausführung zulassen (942099)

Veröffentlicht: 11. September 2007 | Aktualisiert: 12. September 2007

Version: 1.1

Allgemeine Informationen

Kurzfassung

Dieses wichtige Sicherheitsupdate behebt eine öffentlich offengelegte Sicherheitsanfälligkeit in MSN Messenger und Windows Live Messenger. Die Sicherheitsanfälligkeit könnte die Remotecodeausführung ermöglichen, wenn ein Benutzer eine Webcam- oder Videochat-Einladung von einem Angreifer akzeptiert. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann die vollständige Kontrolle über das betroffene System übernehmen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Kunden, die MSN Messenger 7.0.0820 oder Windows Live Messenger 8.1 verwenden, sind von dieser Sicherheitsanfälligkeit nicht betroffen. Weitere Informationen finden Sie im Unterabschnitt, betroffene und nicht betroffene Software in diesem Abschnitt.

Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Unterabschnitt häufig gestellte Fragen (FAQ) für den spezifischen Sicherheitsrisikoeintrag im nächsten Abschnitt, Sicherheitsrisikoinformationen.

Empfehlung Microsoft empfiehlt Kunden, MSN Messenger 6.2 und MSN Messenger 7.0 unter Microsoft Windows 2000 Service Pack 4 auf MSN Messenger 7.0.0820 zu aktualisieren. Kunden auf anderen unterstützten Windows-Plattformen mit MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 oder Windows Live Messenger 8.0 sollten ein Upgrade auf Windows Live Messenger 8.1 zu einem frühesten Zeitpunkt durchführen.

Bekannte Probleme. Keine

Betroffene und nicht betroffene Software

Die folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen oder Editionen liegen entweder über ihren Supportlebenszyklus oder sind nicht betroffen.

Betroffene Software

Nicht betroffene Software

Häufig gestellte Fragen (FAQ) zu diesem Sicherheitsupdate

Wie wird dieses Upgrade verteilt? 
Bei der Anmeldung beim MSN Messenger-Dienst werden Benutzer von MSN Messenger 6.2 und MSN Messenger 7.0 auf unterstützten Editionen von Microsoft Windows 2000 Service Pack 4 vom Clientbereitstellungsmechanismus im MSN Messenger-Dienst aufgefordert, das Upgrade auf MSN Messenger 7.0.0820 zu akzeptieren.

Benutzer, die das Upgrade auf MSN Messenger 7.0.0820 sofort herunterladen möchten, können dies auch über den Download Center-Link in der Tabelle "Betroffene Software" tun. Beachten Sie, dass dies nur für Benutzer von MSN Messenger 6.2 und MSN Messenger 7.0 in unterstützten Editionen von Microsoft Windows 2000 Service Pack 4 gilt.

Bei der Anmeldung beim MSN Messenger- oder Windows Live Messenger-Dienst werden Benutzer von MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 und Windows Live Messenger 8.0 auf unterstützten Editionen von Plattformen später als Microsoft Windows 2000 Service Pack 4 vom Clientbereitstellungsmechanismus im MSN Messenger- oder Windows Live Messenger-Dienst aufgefordert, das Upgrade auf Windows Live Messenger 8.1 zu akzeptieren.

Benutzer, die das Upgrade auf Windows Live Messenger 8.1 sofort herunterladen möchten, können dies auch über den Download Center-Link in der Tabelle "Betroffene Software" tun. Beachten Sie, dass dies nur für Benutzer von MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 und Windows Live Messenger 8.0 auf unterstützten Editionen von Plattformen gilt, die höher als Microsoft Windows 2000 Service Pack 4 sind.

Andernfalls dürfen Benutzer von anfälligen Versionen der MSN Messenger- oder Windows Live Messenger-Clients möglicherweise keine Verbindung mit dem MSN Messenger- oder Windows Live Messenger-Dienst herstellen.

Warum veröffentlicht Microsoft dieses Upgrade über den MSN Messenger- oder Windows Live Messenger-Dienst sowie downloads? 
Microsoft stellt derzeit Upgrades für den MSN Messenger- oder Windows Live Messenger-Client mithilfe des MSN Messenger- oder Windows Live Messenger-Diensts aus, da diese Onlinedienste über einen eigenen Clientbereitstellungsmechanismus verfügen. Download Center-Links sind jedoch auch für bestimmte MSN Messenger- oder Windows Live Messenger-Clients verfügbar, die auf Plattformen ausgeführt werden, die in der Tabelle "Betroffene Software" bereitgestellt werden, da Benutzer die Upgrades möglicherweise sofort herunterladen möchten.

Wenn dies ein Upgrade ist, wie kann ich feststellen, ob ich eine anfällige Version von MSN Messenger oder Windows Live Messenger habe? 
Wenn Sie versuchen, sich beim MSN Messenger- oder Windows Live Messenger-Dienst anzumelden, bestimmt der Clientbereitstellungsmechanismus automatisch Ihre aktuelle Clientversion und -plattform, und empfehlen Sie ggf. das entsprechende Upgrade. Außerdem können Sie Ihre MSN Messenger- oder Windows Live Messenger-Clientversion überprüfen, indem Sie auf "Hilfe" und dann "Info" klicken.

Was geschieht, wenn ich kein Upgrade auf MSN Messenger 7.0.0820 oder Windows Live Messenger 8.1 durchführen? 
Wenn Sie je nach Plattform kein Upgrade auf eine nicht betroffene Version des MSN Messenger- oder Windows Live Messenger-Clients durchführen, werden Sie bei jedem Versuch, sich anzumelden, benachrichtigt. Wenn Sie das Upgrade nicht akzeptieren, dürfen Sie möglicherweise keinen Zugriff auf DEN MSN Messenger- oder Windows Live Messenger-Dienst haben. Weitere Informationen zu Plattformen und Upgradeversionen der MSN Messenger- und Windows Live Messenger-Clients finden Sie in der Tabelle "Nicht betroffene Software" in diesem Abschnitt.

Sind andere Microsoft Real-Time Collaboration-Anwendungen wie Windows Messenger oder Office Communicator von dieser Sicherheitsanfälligkeit betroffen? 
Nein Andere Messaging-Anwendungen sind nicht betroffen, da sie die anfällige Komponente nicht enthalten.

Informationen zu Sicherheitsrisiken

Schweregradbewertungen und Sicherheitslücken-IDs

Sicherheitsanfälligkeit in MSN Messenger Webcam oder Videochatsitzung bezüglich Remotecodeausführung – CVE-2007-2931

In MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 und Windows Live Messenger 8.0 ist eine Sicherheitslücke zur Remotecodeausführung vorhanden. Die Sicherheitsanfälligkeit könnte die Remotecodeausführung ermöglichen, wenn ein Benutzer eine Webcam- oder Videochat-Einladung von einem Angreifer akzeptiert. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann die vollständige Kontrolle über das betroffene System übernehmen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Informationen zum Anzeigen dieser Sicherheitsanfälligkeit als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2007-2931.

Mildernde Faktoren für MSN Messenger Webcam oder VideoChat Session Remote Code Execution Vulnerability – CVE-2007-2931

Die Entschärfung bezieht sich auf eine Einstellung, eine allgemeine Konfiguration oder eine allgemeine bewährte Methode, die in einem Standardzustand vorhanden ist, wodurch der Schweregrad der Ausbeutung einer Sicherheitsanfälligkeit verringert werden kann. Die folgenden mildernden Faktoren können in Ihrer Situation hilfreich sein:

• Um die Sicherheitsanfälligkeit auszunutzen, müsste ein Angreifer einen Benutzer überzeugen, eine Webcam- oder Videochat-Einladung in einer MSN Messenger- oder Windows Live Messenger-Nachricht anzunehmen. Ein Angreifer hätte keine Möglichkeit, Benutzer zu zwingen, die Webcam- oder Videochateinladung zu akzeptieren. Stattdessen müsste ein Angreifer die Benutzer davon überzeugen, die Webcam- oder Videochat-Einladung anzunehmen.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte dieselben Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.
• Benutzer von Windows Live Messenger 8.1, die im Januar 2007 veröffentlicht wurden, sind bereits vor dieser Sicherheitsanfälligkeit geschützt. Benutzer von MSN Messenger 7.0.0820, kürzlich veröffentlicht, sind ebenfalls bereits vor dieser Sicherheitsanfälligkeit geschützt.

Problemumgehungen für MSN Messenger Webcam oder VideoChat Session Remote Code Execution Vulnerability – CVE-2007-2931

Die Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht korrigiert, aber bekannte Angriffsvektoren blockiert, bevor Sie das Upgrade durchführen. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Diskussion an, ob eine Problemumgehung die Funktionalität reduziert:

• Blockieren Sie MSN Messenger- oder Windows Live Messenger-Datenverkehr mithilfe von ISA Server. Siehe Microsoft Knowledge Base-Artikel 925120.

  Auswirkungen der Problemumgehung. Dadurch wird verhindert, dass MSN Messenger- oder Windows Live Messenger-Datenverkehr in Ihr Unternehmen eintritt oder verlässt.

• Auswahl von Netzwerkports für MSN Messenger oder Windows Live Messenger blockieren. Siehe Microsoft Knowledge Base-Artikel 927847.

  Auswirkungen der Problemumgehung. Auf diese Weise können Administratoren Webcam- und Videochatsitzungen selektiv verhindern, anstatt MSN Messenger- oder Windows Live Messenger-Datenverkehr vollständig zu blockieren.

Häufig gestellte Fragen zur Sicherheitsanfälligkeit in MSN Messenger Webcam oder Videochatsitzung bezüglich Remotecodeausführung – CVE-2007-2931

Was ist der Umfang der Sicherheitsanfälligkeit? 
Dies ist eine Sicherheitsanfälligkeit in Remotecodeausführung. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer kann dann Programme installieren oder Programme anzeigen, ändern oder löschen oder neue Konten mit vollständigen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Was verursacht die Sicherheitsanfälligkeit? 
Die Sicherheitsanfälligkeit besteht darin, wie MSN Messenger oder Windows Live Messenger speziell gestaltete Webcam- oder Videochatsitzungen verarbeitet. Daher kann der Arbeitsspeicher so beschädigt sein, dass ein Angreifer beliebigen Code im Sicherheitskontext des angemeldeten Benutzers ausführen kann.

Was kann ein Angreifer tun, um die Sicherheitsanfälligkeit zu tun? 
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer kann dann Programme installieren oder Programme anzeigen, ändern oder löschen oder neue Konten mit vollständigen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Wie kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen? 
Ein Angreifer könnte eine Einladung an einen Benutzer senden, um an einer speziell gestalteten Webcam- oder Videochatsitzung teilzunehmen, die darauf ausgelegt ist, diese Sicherheitsanfälligkeit auszunutzen. Ein Angreifer hätte jedoch keine Möglichkeit, Benutzer zu erzwingen, an einer Webcam- oder Videochatsitzung teilzunehmen. Stattdessen müsste ein Angreifer die Benutzer davon überzeugen, die Webcam- oder Videochat-Einladung anzunehmen.

Welche Systeme sind in erster Linie durch die Sicherheitsanfälligkeit gefährdet? 
Diese Sicherheitsanfälligkeit erfordert, dass ein Benutzer beim MSN Messenger- oder Windows Live Messenger-Dienst angemeldet ist und eine Webcam- oder Videochat-Einladung akzeptiert, damit schädliche Aktionen auftreten. Daher besteht jedes System, in dem MSN Messenger 6.2, MSN Messenger 7.0, MSN Messenger 7.5 oder Windows Live Messenger 8.0 verwendet wird, z. B. Arbeitsstationen oder Server, von dieser Sicherheitsanfälligkeit aus.

Was geschieht mit dem Update? 
MSN Messenger 7.0.0820 und Windows Live Messenger 8.1 wurden aktualisiert, um Webcam- oder Videochatsitzungen ausreichend zu verwalten.

Ich verwende keine Webcams. Muss ich trotzdem ein Upgrade durchführen? 
Ja. Wenn Sie sich anmelden, benachrichtigt Sie der MSN Messenger- oder Windows Live Messenger-Dienst, wenn Sie dies nicht getan haben, auf den entsprechenden MSN Messenger- oder Windows Live Messenger-Client für Ihre Plattform zu aktualisieren.

Als dieses Sicherheitsbulletin ausgegeben wurde, wurde diese Sicherheitsanfälligkeit öffentlich offengelegt? 
Ja. Diese Sicherheitsanfälligkeit wurde öffentlich offengelegt. Es wurde die Nummer für allgemeine Sicherheitsanfälligkeit und Sicherheitsanfälligkeit CVE-2007-2931 zugewiesen.

Als dieses Sicherheitsbulletin ausgegeben wurde, erhielt Microsoft alle Berichte, dass diese Sicherheitsanfälligkeit ausgenutzt wurde? 
Nein Microsoft hatte Beispiele für einen öffentlich veröffentlichten Machbarkeitscode gesehen, aber keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe von Kunden verwendet wurde, als dieses Sicherheitsbulletin ursprünglich ausgestellt wurde.

Informationen aktualisieren

Bereitstellung von Sicherheitsupdates

Betroffene Software

Klicken Sie auf den entsprechenden Link, um Informationen zum spezifischen Sicherheitsupdate für Ihre betroffene Software zu erhalten:

MSN Messenger (alle Versionen) unter Windows 2000

Referenztabelle

Die folgende Tabelle enthält die Informationen zum Upgrade auf MSN Messenger 7.0.0820:

MSN Messenger oder Windows Live Messenger (alle Versionen) unter Windows XP, Windows Server 2003 und Windows Vista

Referenztabelle

Die folgende Tabelle enthält die Informationen zum Upgrade auf Windows Live Messenger 8.1:

Sonstige Informationen

Danksagungen

Microsoft danke ihnen für die Zusammenarbeit mit uns, um Kunden zu schützen:

• Woo Shi des Teams 509 zur Meldung der Sicherheitsanfälligkeit in MSN Messenger Video Chat bezüglich Remotecodeausführung – CVE-2007-2931

Unterstützung

• Kunden in den USA und Kanada können technischen Support von Microsoft Product Support Services bei 1-866-PCSAFETY erhalten. Es fallen keine Gebühren für Supportanrufe an, die Sicherheitsupdates zugeordnet sind.
• Internationale Kunden können Support von ihren lokalen Microsoft-Tochtergesellschaften erhalten. Es gibt keine Kosten für Support, die Sicherheitsupdates zugeordnet sind. Weitere Informationen zum Kontaktieren von Microsoft für Supportprobleme finden Sie auf der Website für den internationalen Support.

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (11. September 2007): Bulletin veröffentlicht.
• V1.1 (12. September 2007): Download Center-Links, die zur Tabelle "Betroffene Software" für das Upgrade auf Windows Live Messenger 8.1 hinzugefügt wurden.

Gebaut am 2014-04-18T13:49:36Z-07:00