Microsoft Security Bulletin MS08-072 - Kritisch

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Die Sicherheitsanfälligkeit kann nicht automatisch über E-Mail ausgenutzt werden. Ein Benutzer muss eine zusammen mit einer E-Mail-Nachricht gesendete Dateianlage öffnen, damit ein Angriff erfolgreich ist.
• In einem webbasierten Angriffsszenario könnte eine Website eine Word-Datei enthalten, mit der diese Sicherheitsanfälligkeit ausgenutzt wird. Ein Angreifer muss den Benutzer dazu verleiten, diese Website zu besuchen und eine speziell gestaltete Word-Datei zu öffnen. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die den Benutzer zur Website des Angreifers führt. Dort wird der Benutzer dazu verleitet, die speziell gestaltete Word-Datei zu öffnen.
• Benutzer, die das Bestätigungstool zum Öffnen von Office-Dokumenten für Office 2000 installiert haben und verwenden, erhalten eine Aufforderung zum Öffnen, Speichern oder Abbrechen, bevor sie ein Dokument öffnen. Die Funktionen des Bestätigungstools zum Öffnen von Office-Dokumenten sind in Office XP und Office 2003 integriert.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Beim Öffnen einer speziell gestalteten Office-Datei kann der Systemspeicher so beeinträchtigt werden, dass ein Angreifer beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann als angemeldeter Benutzer beliebigen Code ausführen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, kann ein Angreifer vollständige Kontrolle über ein betroffenes System erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit erfordert, dass ein Benutzer eine speziell gestaltete Word-Datei mit einer betroffenen Version von Microsoft Word öffnet.

Bei einem E-Mail-Angriff kann ein Angreifer diese Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Word-Datei an den Benutzer sendet und ihn dazu verleitet, die Datei zu öffnen.

In einem webbasierten Angriffsszenario könnte eine Website eine Word-Datei enthalten, mit der diese Sicherheitsanfälligkeit ausgenutzt wird. Ein Angreifer muss den Benutzer dazu verleiten, diese Website zu besuchen und eine speziell gestaltete Word-Datei zu öffnen. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die den Benutzer zur Website des Angreifers führt.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Systeme, auf denen Microsoft Office Word verwendet wird, einschließlich Arbeitsstationen und Terminalservern, sind hauptsächlich gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Microsoft Word Dateien öffnet. Nach dem Installieren dieses Updates können Versuche, ein speziell gestaltetes Microsoft Word-Dokument zu öffnen, immer noch bewirken, dass Word beendet wird oder dass ein unerwarteter Fehler zurückgegeben wird. Dieses Verhalten ist nicht ausnutzbar.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Website einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Ein Angreifer muss Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.
• Benutzer, die das Bestätigungstool zum Öffnen von Office-Dokumenten für Office 2000 installiert haben und verwenden, erhalten eine Aufforderung zum Öffnen, Speichern oder Abbrechen, bevor sie ein Dokument öffnen. Die Funktionen des Bestätigungstools zum Öffnen von Office-Dokumenten sind in Office XP und Office 2003 integriert.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Verhindern Sie, dass Word RTF-Dateien lädt

  Hinweis: Eine fehlerhafte Änderung der Registrierung kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft kann nicht garantieren, dass Probleme, die aus einer fehlerhaften Änderung der Registrierung resultieren, gelöst werden können. Sie ändern die Registrierung auf eigene Gefahr.

  Für Word 2003 Interaktiv

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2003 verwaltetes Bereitstellungsskript

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00 [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Auswirkung der Problemumgehung: RTF-Dateien können nicht von Word gelesen werden.

  So machen Sie die Problemumgehung rückgängig.

  Rollback für Word 2003 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2003 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg

  Rollback für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg
• Lesen von E-Mail im Nur-Text-Format

  Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Microsoft Office Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über RTF-E-Mail-Nachrichten zu schützen.

  Benutzer von Microsoft Office Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Microsoft Office Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

  Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

  Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

  Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, enthalten keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte. Darüber hinaus gilt:

  • Die Änderungen werden für das Vorschaufenster sowie für geöffnete Nachrichten übernommen.
  • Bilder werden zu Dateianlagen, um ihren Verlust zu vermeiden.
  • Da die Nachricht im Speicher noch immer im Rich Text- oder HTML-Format vorliegt, verhält sich das Objektmodell (benutzerdefinierte Codelösungen) möglicherweise unerwartet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird von einem Speicherberechnungsfehler beim Verarbeiten eines fehlerhaften Steuerworts in einer speziell gestalteten RTF-Datei verursacht. Durch den Fehler kann der Systemspeicher in einer solchen Weise beschädigt werden, dass ein Angreifer einen beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, kann ein Angreifer vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit setzt voraus, dass ein Benutzer eine speziell gestaltete RTF-Datei mit einer betroffenen Version von Microsoft Office Word öffnet oder eine speziell gestaltete E-Mail in Microsoft Office Outlook mit Word als standardmäßigem E-Mail-Editor liest.

In einem E-Mail-Angriffsszenario kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete RTF-E-Mail an ein System sendet, auf dem Word als Standardeditor verwendet wird. Die Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine E-Mail liest oder sich eine Vorschau davon ansieht.

Hinweis: Outlook 2003 verwendet Word standardmäßig nicht als Standardeditor. Dies ist jedoch in Outlook 2007 der Fall.

In einem webbasierten Angriffsszenario muss ein Angreifer eine Website mit einer RTF-Datei einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Systeme, auf denen Microsoft Office Word oder Microsoft Office Outlook verwendet wird, einschließlich Arbeitsstationen und Terminalserver, sind hauptsächlich gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Word die erforderliche Speicherzuordnung beim Öffnen von RTF-Dateien berechnet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Benutzer, die das Bestätigungstool zum Öffnen von Office-Dokumenten für Office 2000 installiert haben und verwenden, erhalten eine Aufforderung zum Öffnen, Speichern oder Abbrechen, bevor sie ein Dokument öffnen. Die Funktionen des Bestätigungstools zum Öffnen von Office-Dokumenten sind in Office XP und späteren Editionen von Office integriert.
• Die Sicherheitsanfälligkeit kann nicht automatisch über E-Mail ausgenutzt werden. Ein Benutzer muss eine zusammen mit einer E-Mail-Nachricht gesendete Dateianlage öffnen, damit ein Angriff erfolgreich ist.
• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Website einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete Word-Datei zu öffnen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.
• Verwenden Sie auf Word-Clientsystemen das Microsoft Office Isolated Conversion Environment (MOICE), wenn Sie Dateien von unbekannten oder nicht vertrauenswürdigen Quellen öffnen.

  Die Microsoft Office Isolated Conversion Environment (MOICE) schützt Installationen von Office 2003 durch ein sichereres Öffnen von Dateien im Word-, Excel- und PowerPoint-Binärformat.

  Für die Installation von MOICE benötigen Sie Office 2003 oder Office 2007.

  Für die Installation von MOICE benötigen Sie das Compatibility Pack für die Dateiformate von Word, Excel und PowerPoint 2007. Sie erhalten das Compatibility Pack als kostenlosen Download vom Microsoft Download Center:
  
  Laden Sie jetzt das Paket FileFormatConverters.exe herunter

  Für MOICE sind sämtliche Updates erforderlich, die für alle Office-Programme empfohlen werden. Auf der Microsoft Update-Website finden Sie alle empfohlenen Updates:
  
  http://update.microsoft.com/microsoftupdate/v6/default.aspx

  Ändern Sie das registrierten Handle für die Dateiformate .xls, .xlt und .xla, um MOICE zu aktivieren. Die folgende Tabelle enthält den Befehl zum Aktivieren bzw. Deaktivieren von MOICE für die Dateiformate .xls, .xlt und .xla:

Hinweis: Unter Windows Vista und Windows Server 2008 müssen die Befehle an einer erhöhten Eingabeaufforderung ausgeführt werden.

Weitere Informationen zu MOICE finden Sie im Microsoft Knowledge Base-Artikel 935865.

Auswirkung der Problemumgehung: Im Format Office 2003 und früher formatierte Dokumente, die durch MOICE in das Open XML-Format von Microsoft Office 2007 konvertiert werden, behalten die Makrofunktionen nicht bei. Außerdem können Dokumente, die mit Digital Rights Management oder einem Kennwort geschützt sind, nicht konvertiert werden.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Beim Öffnen einer speziell gestalteten Word-Datei kann der Systemspeicher so beeinträchtigt werden, dass ein Angreifer beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann als angemeldeter Benutzer beliebigen Code ausführen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, kann ein Angreifer vollständige Kontrolle über ein betroffenes System erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit erfordert, dass ein Benutzer eine speziell gestaltete Word-Datei mit einer betroffenen Version von Microsoft Word öffnet.

Bei einem E-Mail-Angriff kann ein Angreifer diese Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Word-Datei an den Benutzer sendet und ihn dazu verleitet, die Datei zu öffnen.

In einem webbasierten Angriffsszenario muss ein Angreifer eine Website mit einer Word-Datei einrichten, durch die diese Sicherheitsanfälligkeit ausgenutzt wird. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss er Benutzer zu einem Besuch der Webseite verleiten. Zu diesem Zweck werden die Benutzer meist dazu gebracht, auf einen Link zur Website des Angreifers zu klicken und anschließend die speziell gestaltete Word-Datei zu öffnen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Systeme, auf denen die betroffene Software verwendet wird, einschließlich Arbeitsstationen und Terminalserver, sind hauptsächlich gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Microsoft Word Dateien öffnet. Nach dem Installieren dieses Updates können Versuche, ein speziell gestaltetes Microsoft Word-Dokument zu öffnen, immer noch bewirken, dass Word beendet wird oder dass ein unerwarteter Fehler zurückgegeben wird. Dieses Verhalten ist nicht ausnutzbar.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Website einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete Word-Datei zu öffnen.
• Benutzer, die das Bestätigungstool zum Öffnen von Office-Dokumenten für Office 2000 installiert haben und verwenden, erhalten eine Aufforderung zum Öffnen, Speichern oder Abbrechen, bevor sie ein Dokument öffnen. Die Funktionen des Bestätigungstools zum Öffnen von Office-Dokumenten sind in Office XP und Office 2003 integriert.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Verhindern Sie, dass Word RTF-Dateien lädt

  Hinweis: Eine fehlerhafte Änderung der Registrierung kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft kann nicht garantieren, dass Probleme, die aus einer fehlerhaften Änderung der Registrierung resultieren, gelöst werden können. Sie ändern die Registrierung auf eigene Gefahr.

  Für Word 2003 Interaktiv

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2003 verwaltetes Bereitstellungsskript

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00 [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Auswirkung der Problemumgehung: RTF-Dateien können nicht von Word gelesen werden.

  So machen Sie die Problemumgehung rückgängig.

  Rollback für Word 2003 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2003 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg

  Rollback für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg
• Lesen von E-Mail im Nur-Text-Format

  Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Microsoft Office Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über RTF-E-Mail-Nachrichten zu schützen.

  Benutzer von Microsoft Office Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Microsoft Office Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

  Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

  Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

  Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, enthalten keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte. Darüber hinaus gilt:

  • Die Änderungen werden für das Vorschaufenster sowie für geöffnete Nachrichten übernommen.
  • Bilder werden zu Dateianlagen, um ihren Verlust zu vermeiden.
  • Da die Nachricht im Speicher noch immer im Rich Text- oder HTML-Format vorliegt, verhält sich das Objektmodell (benutzerdefinierte Codelösungen) möglicherweise unerwartet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird von einem Speicherberechnungsfehler beim Verarbeiten eines speziell gestalteten Steuerworts in einer RTF-Datei verursacht. Durch den Fehler kann der Systemspeicher in einer solchen Weise beschädigt werden, dass ein Angreifer einen beliebigen Code ausführen kann. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, kann ein Angreifer vollständige Kontrolle über ein betroffenes System erlangen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit setzt voraus, dass ein Benutzer eine speziell gestaltete RTF-Datei mit einer betroffenen Version von Microsoft Office Word öffnet oder eine speziell gestaltete E-Mail in Microsoft Office Outlook mit Word als standardmäßigem E-Mail-Editor liest.

In einem E-Mail-Angriffsszenario kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete RTF-E-Mail an ein System sendet, auf dem Word als Standardeditor verwendet wird. Die Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine E-Mail liest oder sich eine Vorschau davon ansieht.

Hinweis: Outlook 2003 verwendet Word standardmäßig nicht als Standardeditor. Dies ist jedoch in Outlook 2007 der Fall.

In einem webbasierten Angriffsszenario muss ein Angreifer eine Website mit einer RTF-Datei einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Systeme, auf denen Microsoft Office Word oder Microsoft Office Outlook verwendet wird, einschließlich Arbeitsstationen und Terminalserver, sind hauptsächlich gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Word den Speicher bereinigt, nachdem es auf fehlerhafte RTF-Inhalte gestoßen ist.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Website einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Ein Angreifer muss Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.
• Benutzer, die das Bestätigungstool zum Öffnen von Office-Dokumenten für Office 2000 installiert haben und verwenden, erhalten eine Aufforderung zum Öffnen, Speichern oder Abbrechen, bevor sie ein Dokument öffnen. Die Funktionen des Bestätigungstools zum Öffnen von Office-Dokumenten sind in Office XP und Office 2003 integriert.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Verhindern Sie, dass Word RTF-Dateien lädt

  Hinweis: Eine fehlerhafte Änderung der Registrierung kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft kann nicht garantieren, dass Probleme, die aus einer fehlerhaften Änderung der Registrierung resultieren, gelöst werden können. Sie ändern die Registrierung auf eigene Gefahr.

  Für Word 2003 Interaktiv

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2003 verwaltetes Bereitstellungsskript

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00 [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Auswirkung der Problemumgehung: RTF-Dateien können nicht von Word gelesen werden.

  So machen Sie die Problemumgehung rückgängig.

  Rollback für Word 2003 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2003 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg

  Rollback für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg
• Lesen von E-Mail im Nur-Text-Format

  Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Microsoft Office Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über RTF-E-Mail-Nachrichten zu schützen.

  Benutzer von Microsoft Office Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Microsoft Office Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

  Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

  Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

  Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, enthalten keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte. Darüber hinaus gilt:

  • Die Änderungen werden für das Vorschaufenster sowie für geöffnete Nachrichten übernommen.
  • Bilder werden zu Dateianlagen, um ihren Verlust zu vermeiden.
  • Da die Nachricht im Speicher noch immer im Rich Text- oder HTML-Format vorliegt, verhält sich das Objektmodell (benutzerdefinierte Codelösungen) möglicherweise unerwartet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird von einem Speicherberechnungsfehler beim Verarbeiten eines speziell gestalteten Steuerworts in einer RTF-Datei verursacht. Durch den Fehler kann der Systemspeicher in einer solchen Weise beschädigt werden, dass ein Angreifer einen beliebigen Code ausführen kann. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, kann ein Angreifer vollständige Kontrolle über ein betroffenes System erlangen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit setzt voraus, dass ein Benutzer eine speziell gestaltete RTF-Datei mit einer betroffenen Version von Microsoft Office Word öffnet oder eine speziell gestaltete E-Mail in Microsoft Office Outlook mit Word als standardmäßigem E-Mail-Editor liest.

In einem E-Mail-Angriffsszenario kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete RTF-E-Mail an ein System sendet, auf dem Word als Standardeditor verwendet wird. Die Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine E-Mail liest oder sich eine Vorschau davon ansieht.

Hinweis: Outlook 2003 verwendet Word standardmäßig nicht als Standardeditor. Dies ist jedoch in Outlook 2007 der Fall.

In einem webbasierten Angriffsszenario muss ein Angreifer eine Website mit einer RTF-Datei einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Systeme, auf denen die betroffene Software verwendet wird, einschließlich Arbeitsstationen und Terminalserver, sind hauptsächlich gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Word die erforderliche Speicherzuordnung beim Öffnen von RTF-Dateien berechnet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Website einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Ein Angreifer muss Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.
• Benutzer, die das Bestätigungstool zum Öffnen von Office-Dokumenten für Office 2000 installiert haben und verwenden, erhalten eine Aufforderung zum Öffnen, Speichern oder Abbrechen, bevor sie ein Dokument öffnen. Die Funktionen des Bestätigungstools zum Öffnen von Office-Dokumenten sind in Office XP und Office 2003 integriert.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Verhindern Sie, dass Word RTF-Dateien lädt

  Hinweis: Eine fehlerhafte Änderung der Registrierung kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft kann nicht garantieren, dass Probleme, die aus einer fehlerhaften Änderung der Registrierung resultieren, gelöst werden können. Sie ändern die Registrierung auf eigene Gefahr.

  Für Word 2003 Interaktiv

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2003 verwaltetes Bereitstellungsskript

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00 [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die EINGABETASTE.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Auswirkung der Problemumgehung: RTF-Dateien können nicht von Word gelesen werden.

  So machen Sie die Problemumgehung rückgängig.

  Rollback für Word 2003 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2003 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg

  Rollback für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg
• Lesen von E-Mail im Nur-Text-Format

  Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Microsoft Office Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über RTF-E-Mail-Nachrichten zu schützen.

  Benutzer von Microsoft Office Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Microsoft Office Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

  Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

  Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

  Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, enthalten keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte. Darüber hinaus gilt:

  • Die Änderungen werden für das Vorschaufenster sowie für geöffnete Nachrichten übernommen.
  • Bilder werden zu Dateianlagen, um ihren Verlust zu vermeiden.
  • Da die Nachricht im Speicher noch immer im Rich Text- oder HTML-Format vorliegt, verhält sich das Objektmodell (benutzerdefinierte Codelösungen) möglicherweise unerwartet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird von einem Speicherberechnungsfehler beim Verarbeiten eines speziell gestalteten Steuerworts in einer RTF-Datei verursacht. Durch den Fehler kann der Systemspeicher in einer solchen Weise beschädigt werden, dass ein Angreifer einen beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, kann ein Angreifer vollständige Kontrolle über ein betroffenes System erlangen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit setzt voraus, dass ein Benutzer eine speziell gestaltete RTF-Datei mit einer betroffenen Version von Microsoft Office Word öffnet oder eine speziell gestaltete E-Mail in Microsoft Office Outlook mit Word als standardmäßigem E-Mail-Editor liest.

In einem E-Mail-Angriffsszenario kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete RTF-E-Mail an ein System sendet, auf dem Word als Standardeditor verwendet wird. Die Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine E-Mail liest oder sich eine Vorschau davon ansieht.

Hinweis: Outlook 2003 verwendet Word standardmäßig nicht als Standardeditor. Dies ist jedoch in Outlook 2007 der Fall.

In einem webbasierten Angriffsszenario muss ein Angreifer eine Website mit einer RTF-Datei einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Systeme, auf denen die betroffene Software verwendet wird, einschließlich Arbeitsstationen und Terminalserver, sind hauptsächlich gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Word die erforderliche Speicherzuordnung beim Öffnen von RTF-Dateien berechnet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Website einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Ein Angreifer muss Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.
• Benutzer, die das Bestätigungstool zum Öffnen von Office-Dokumenten für Office 2000 installiert haben und verwenden, erhalten eine Aufforderung zum Öffnen, Speichern oder Abbrechen, bevor sie ein Dokument öffnen. Die Funktionen des Bestätigungstools zum Öffnen von Office-Dokumenten sind in Office XP und Office 2003 integriert.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Verhindern Sie, dass Word RTF-Dateien lädt

  Hinweis: Eine fehlerhafte Änderung der Registrierung kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft kann nicht garantieren, dass Probleme, die aus einer fehlerhaften Änderung der Registrierung resultieren, gelöst werden können. Sie ändern die Registrierung auf eigene Gefahr.

  Für Word 2003 Interaktiv

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2003 verwaltetes Bereitstellungsskript

  Wenn Sie Sicherheitsupdate 934181 installiert haben, können Sie verhindern, dass diese Art von Datei in Word 2003 geladen wird.

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00 [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
     
     Wenn der Unterschlüssel FileOpenBlock nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Wählen Sie den Unterschlüssel Security aus.
     b. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
     c. Geben Sie FileOpenBlock ein, und drücken Sie die Eingabetaste.
  3. Nachdem Sie den Unterschlüssel FileOpenBlock ausgewählt haben, suchen Sie nach dem DWORD-Wert RtfFiles. Falls dieser Wert nicht vorhanden ist, müssen Sie ihn erstellen. Führen Sie zu diesem Zweck die folgenden Schritte durch:
     
     a. Zeigen Sie im Menü Bearbeiten auf „Neu“ und klicken Sie dann auf „DWORD-Wert“.
     b. Geben Sie „RtfFiles“ ein und drücken Sie dann die Eingabetaste.
  4. Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Ändern.
  5. Geben Sie im Datenfeld „Wert“ den Wert 1 ein, und klicken Sie dann auf OK.
  6. Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Disable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=dword:00000001
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Disable_RTF_In_Word.reg

  Auswirkung der Problemumgehung: RTF-Dateien können nicht von Word gelesen werden.

  So machen Sie die Problemumgehung rückgängig.

  Rollback für Word 2003 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2003 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg

  Rollback für Word 2007 Interaktiv

  1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK.
  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:
     
     HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock
  3. .Klicken Sie mit der rechten Maustaste auf RtfFiles und dann auf Löschen.
  4. .Klicken Sie im Dialogfeld „Löschen der Werte bestätigen“ auf Ja.
  5. .Klicken Sie im Menü "Datei" auf Beenden, um den Registrierungs-Editor zu beenden.

  Rollback für Word 2007 verwaltetes Bereitstellungsskript

  1. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG (z. B. Enable_RTF_In_Word.reg):
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]"RtfFiles"=-
  2. Führen Sie mit folgendem Befehl das in Schritt 1 auf dem Zielcomputer erstellte obige Registrierungsskript an einer administrativen Eingabeaufforderung aus:
     
     Regedit /s Enable_RTF_In_Word.reg
• Lesen von E-Mail im Nur-Text-Format

  Lesen Sie E-Mail-Nachrichten im Nur-Text-Format, wenn Sie Microsoft Office Outlook 2002 oder höher oder Outlook Express 6 SP1 oder höher verwenden, um sich vor Angriffen über RTF-E-Mail-Nachrichten zu schützen.

  Benutzer von Microsoft Office Outlook 2002, die Office XP Service Pack 1 oder höher installiert haben, und Benutzer von Microsoft Office Outlook Express 6, die Internet Explorer 6 Service Pack 1 oder höher installiert haben, können diese Einstellung aktivieren und alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzeigen.

  Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie im Microsoft Knowledge Base-Artikel 307594.

  Weitere Informationen zu dieser Einstellung in Outlook Express 6 finden Sie im Microsoft Knowledge Base-Artikel 291387.

  Auswirkung der Problemumgehung: E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, enthalten keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte. Darüber hinaus gilt:

  • Die Änderungen werden für das Vorschaufenster sowie für geöffnete Nachrichten übernommen.
  • Bilder werden zu Dateianlagen, um ihren Verlust zu vermeiden.
  • Da die Nachricht im Speicher noch immer im Rich Text- oder HTML-Format vorliegt, verhält sich das Objektmodell (benutzerdefinierte Codelösungen) möglicherweise unerwartet.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit wird von einem Speicherberechnungsfehler beim Verarbeiten einer fehlerhaften Zeichenfolge in einer speziell gestalteten RTF-Datei verursacht. Durch den Fehler kann der Systemspeicher in einer solchen Weise beschädigt werden, dass ein Angreifer einen beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann im Kontext des derzeit angemeldeten Benutzers die Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, kann ein Angreifer vollständige Kontrolle über ein betroffenes System erlangen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit setzt voraus, dass ein Benutzer eine speziell gestaltete RTF-Datei mit einer betroffenen Version von Microsoft Office Word öffnet oder eine speziell gestaltete E-Mail in Microsoft Office Outlook mit Word als standardmäßigem E-Mail-Editor liest.

In einem E-Mail-Angriffsszenario kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete RTF-E-Mail an ein System sendet, auf dem Word als Standardeditor verwendet wird. Die Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine E-Mail liest oder sich eine Vorschau davon ansieht.

Hinweis: Outlook 2003 verwendet Word standardmäßig nicht als Standardeditor. Dies ist jedoch in Outlook 2007 der Fall.

In einem webbasierten Angriffsszenario muss ein Angreifer eine Website mit einer RTF-Datei einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete RTF-Datei zu öffnen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Systeme, auf denen die betroffene Software verwendet wird, einschließlich Arbeitsstationen und Terminalserver, sind hauptsächlich gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Word die erforderliche Speicherzuordnung beim Öffnen von RTF-Dateien berechnet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Die Sicherheitsanfälligkeit kann nicht automatisch über E-Mail ausgenutzt werden. Ein Benutzer muss eine zusammen mit einer E-Mail-Nachricht gesendete Dateianlage öffnen, damit ein Angriff erfolgreich ist.
• In einem webbasierten Angriffsszenario könnte eine Website eine Word-Datei enthalten, mit der diese Sicherheitsanfälligkeit ausgenutzt wird. Ein Angreifer muss den Benutzer dazu verleiten, diese Website zu besuchen und eine speziell gestaltete Word-Datei zu öffnen. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die den Benutzer zur Website des Angreifers führt. Dort wird der Benutzer dazu verleitet, die speziell gestaltete Word-Datei zu öffnen.
• Benutzer, die das Bestätigungstool zum Öffnen von Office-Dokumenten für Office 2000 installiert haben und verwenden, erhalten eine Aufforderung zum Öffnen, Speichern oder Abbrechen, bevor sie ein Dokument öffnen. Die Funktionen des Bestätigungstools zum Öffnen von Office-Dokumenten sind in Office XP und Office 2003 integriert.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Öffnen und speichern Sie keine Microsoft Office-Dateien, die Sie von nicht vertrauenswürdigen Quellen oder unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.
• Verwenden Sie auf Word-Clientsystemen das Microsoft Office Isolated Conversion Environment (MOICE), wenn Sie Dateien von unbekannten oder nicht vertrauenswürdigen Quellen öffnen.

  Die Microsoft Office Isolated Conversion Environment (MOICE) schützt Installationen von Office 2003 durch ein sichereres Öffnen von Dateien im Word-, Excel- und PowerPoint-Binärformat.

  Für die Installation von MOICE benötigen Sie Office 2003 oder Office 2007.

  Für die Installation von MOICE benötigen Sie das Compatibility Pack für die Dateiformate von Word, Excel und PowerPoint 2007. Sie erhalten das Compatibility Pack als kostenlosen Download vom Microsoft Download Center:
  
  Laden Sie jetzt das Paket FileFormatConverters.exe herunter

  Für MOICE sind sämtliche Updates erforderlich, die für alle Office-Programme empfohlen werden. Auf der Microsoft Update-Website finden Sie alle empfohlenen Updates:
  
  http://update.microsoft.com/microsoftupdate/v6/default.aspx

  Ändern Sie das registrierten Handle für die Dateiformate .xls, .xlt und .xla, um MOICE zu aktivieren. Die folgende Tabelle enthält den Befehl zum Aktivieren bzw. Deaktivieren von MOICE für die Dateiformate .xls, .xlt und .xla:

Hinweis: Unter Windows Vista und Windows Server 2008 müssen die Befehle an einer erhöhten Eingabeaufforderung ausgeführt werden.

Weitere Informationen zu MOICE finden Sie im Microsoft Knowledge Base-Artikel 935865.

Auswirkung der Problemumgehung: Im Format Office 2003 und früher formatierte Dokumente, die durch MOICE in das Open XML-Format von Microsoft Office 2007 konvertiert werden, behalten die Makrofunktionen nicht bei. Außerdem können Dokumente, die mit Digital Rights Management oder einem Kennwort geschützt sind, nicht konvertiert werden.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Beim Öffnen einer speziell gestalteten Office-Datei kann der Systemspeicher so beeinträchtigt werden, dass ein Angreifer beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann als angemeldeter Benutzer beliebigen Code ausführen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, kann ein Angreifer vollständige Kontrolle über ein betroffenes System erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit erfordert, dass ein Benutzer eine speziell gestaltete Word-Datei mit einer betroffenen Version von Microsoft Word öffnet.

Bei einem E-Mail-Angriff kann ein Angreifer diese Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Word-Datei an den Benutzer sendet und ihn dazu verleitet, die Datei zu öffnen.

In einem webbasierten Angriffsszenario könnte eine Website eine Word-Datei enthalten, mit der diese Sicherheitsanfälligkeit ausgenutzt wird. Ein Angreifer muss den Benutzer dazu verleiten, diese Website zu besuchen und eine speziell gestaltete Word-Datei zu öffnen. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die den Benutzer zur Website des Angreifers führt. Dort wird der Benutzer dazu verleitet, die speziell gestaltete Word-Datei zu öffnen.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Systeme, auf denen die betroffene Software verwendet wird, einschließlich Arbeitsstationen und Terminalserver, sind hauptsächlich gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Microsoft Word Dateien öffnet. Nach dem Installieren dieses Updates können Versuche, ein speziell gestaltetes Microsoft Word-Dokument zu öffnen, immer noch bewirken, dass Word beendet wird oder dass ein unerwarteter Fehler zurückgegeben wird. Dieses Verhalten ist nicht ausnutzbar.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.