Microsoft Security Bulletin MS08-078 - Kritisch

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Website einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
• Standardmäßig hilft der geschützte Modus in Internet Explorer 7 und Internet Explorer 8 Beta 2 unter Windows Vista und höher, Systeme vor schädlichen Downloads zu schützen, indem Anforderungen zum Starten eines anderen Programms oder zum Speichern von Dateien ohne Zustimmung des Benutzers eingeschränkt werden. Dies betrifft Dateien und Einstellungen von Benutzern und des Systems.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Setzen Sie die Einstellungen der Internetzone und der lokalen Intranetzone auf „Hoch“, um vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in diesen Zonen eine Bestätigung zu erhalten

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting eine Bestätigung verlangt wird. Setzen Sie die Sicherheitseinstellungen Ihres Browsers auf Hoch.

  So erhöhen Sie die Stufe der Browser-Sicherheit in Microsoft Internet Explorer:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie im Dialogfeld Internetoptionen auf die Registerkarte Sicherheit und dann auf das Symbol Internet.
  3. Ziehen Sie den Gleitregler unter Sicherheitsstufe dieser Zone auf Hoch. Dadurch wird die Sicherheitsstufe für alle besuchten Websites auf Hoch gesetzt.

  Hinweis: Wenn kein Schieberegler zu sehen ist, klicken Sie auf Standardstufe, und stellen Sie den Regler dann auf Hoch.

  Hinweis: Bei der Sicherheitsstufe Hoch funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website selbst bei einer auf Hoch eingestellten Sicherheitsstufe einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von ActiveX-Steuerelementen und Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen ActiveX oder Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von ActiveX-Steuerelementen bzw. Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie bei jeder Eingabeaufforderung auf Ja, um ActiveX-Steuerelemente oder Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Konfigurieren Sie Internet Explorer zur Bestätigung der Ausführung von Active Scripting, oder deaktivieren Sie Active Scripting in der Internet- und der lokalen Intranet-Sicherheitszone

  Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen so ändern, dass vor der Ausführung von Active Scripting eine Bestätigung verlangt wird. Sie können auch Active Scripting in der Internet- und lokalen Intranetzone deaktivieren. Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
  2. Klicken Sie auf die Registerkarte Sicherheit.
  3. Klicken Sie auf Internet und dann auf Stufe anpassen.
  4. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  5. Klicken Sie auf Lokales Intranet und dann auf Stufe anpassen.
  6. Klicken Sie unter Einstellungen im Abschnitt Scripting unter Active Scripting auf Eingabeaufforderung oder Deaktivieren, und klicken Sie dann auf OK.
  7. Klicken Sie zweimal auf OK, um zu Internet Explorer zurückzukehren.

  Hinweis: Durch das Deaktivieren von Active Scripting in den Internet- und lokalen Intranetzonen funktionieren einige Websites eventuell nicht richtig. Wenn Sie nach der Änderung dieser Einstellung Probleme mit einer Website haben und überzeugt sind, dass die Website sicher ist, können Sie diese zur Liste vertrauenswürdiger Sites hinzufügen. Dann funktioniert die Website einwandfrei.

  Auswirkung der Problemumgehung: Das Verlangen einer Bestätigung vor der Ausführung von Active Scripting ist mit Nebeneffekten verbunden. Zahlreiche Websites im Internet oder in einem Intranet setzen Active Scripting ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite kann z. B. mithilfe von Active Scripting Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von Active Scripting erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um Active Scripting auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht für jede Website eine Eingabeaufforderung erhalten möchten, befolgen Sie die Anweisungen unter „Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu“.

  Fügen Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzu

  Nachdem Sie Internet Explorer so konfiguriert haben, dass vor der Ausführung von ActiveX-Steuerelementen und Active Scripting in der Internetzone und lokalen Intranetzone eine Bestätigung verlangt wird, können Sie der Zone der vertrauenswürdigen Sites von Internet Explorer vertrauenswürdige Sites hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

  Führen Sie zu diesem Zweck die folgenden Schritte durch:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf die Registerkarte Sicherheit.
  2. Klicken Sie im Feld Wählen Sie eine Zone von Webinhalten aus, um die Sicherheitseinstellungen für diese Zone anzugeben auf Vertrauenswürdige Sites und anschließend auf Sites.
  3. Wenn Sie Sites hinzufügen möchten, die keinen verschlüsselten Kanal benötigen, deaktivieren Sie das Kontrollkästchen Für Sites dieser Zone ist eine Serverüberprüfung (https:) erforderlich.
  4. Geben Sie im Feld Diese Website der Zone hinzufügen die URL einer Site ein, der Sie vertrauen, und klicken Sie dann auf Hinzufügen.
  5. Wiederholen Sie diese Schritte für jede Site, die Sie der Zone hinzufügen möchten.
  6. Klicken Sie zweimal auf OK, um die Änderungen zu übernehmen und zu Internet Explorer zurückzukehren.

  Hinweis: Fügen Sie alle Sites hinzu, bei denen Sie sicher sind, dass diese auf Ihrem Computer keine Schaden verursachenden Aktionen durchführen. Erwägen Sie insbesondere das Hinzufügen der Sites *.windowsupdate.microsoft.com und *.update.microsoft.com. Auf diesen Sites erhalten Sie das Update. Für die Installation des Updates ist ein ActiveX-Steuerelement erforderlich.

• Deaktivieren Sie die XML- Dateninsel- Funktionalität

  Warnung: Eine fehlerhafte Verwendung des Registrierungs-Editors kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft übernimmt keine Garantie dafür, dass Sie Probleme lösen können, die auf das fehlerhafte Verwenden des Registrierungs-Editors zurückzuführen sind. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko.

  Erstellen Sie eine Sicherungskopie der Registrierungsschlüssel, indem Sie an einer erhöhten Eingabeaufforderung folgenden Befehl ausführen:

  Regedit.exe /e Disable_XML_Island_backup.reg HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}

  Nur unter Windows Vista und Windows Server 2008 sollten Sie Besitz von [HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}] übernehmen, und zwar folgendermaßen:

  1. Klicken Sie als Administrator auf Start und auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK
  2. Gehen Sie zu [HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]
  3. Klicken Sie auf Berechtigung, Erweitert, Besitzer
  4. Ändern Sie Besitzer in Administrator
  5. Klicken Sie auf die entsprechende Option,um dem Administrator vollständige Kontrolle zu gewähren
  6. Wiederholen Sie dies anschließend für alle Unterschlüssel

  Speichern Sie anschließend Folgendes in einer Datei mit der Erweiterung .REG, z. B. Disable_XML_Island.reg:

  Windows Registrierungs-Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]

  Führen Sie Disable_XML_Island.reg mit folgendem Befehl an einer erhöhten Eingabeaufforderung aus:

  Regedit.exe /s Disable_XML_Island.reg

  Auswirkung der Problemumgehung: Eingebettetes XML in HTML wird möglicherweise nicht richtig dargestellt.

  So machen Sie die Problemumgehung rückgängig

  Stellen Sie den ursprünglichen Zustand wieder her, indem Sie an einer erhöhten Eingabeaufforderung folgenden Befehl ausführen:

  Regedit.exe /s Disable_XML_Island_backup.reg

  So machen Sie die in Sicherheitsempfehlung 961051 eingeführte Problemumgehung rückgängig

  In Microsoft-Sicherheitsempfehlung 961051 wurde für diese Problemumgehung eine manuelle Methode zum Ändern der Registrierung eingeführt. Wenn Sie diese Methode verwendet haben und diese Problemumgehung jetzt rückgängig machen möchten, verwenden Sie die folgende Registrierungsdatei:

  Windows Registrierungs-Editor Version 5.00
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]
@="MsxmlIsland"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\InProcServer32]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,73,00,\
78,00,6d,00,6c,00,33,00,2e,00,64,00,6c,00,6c,00,00,00
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\TypeLib]
@="{D63E0CE2-A0A2-11D0-9C02-00C04FC99C8E}"

• Verhindern Sie, dass Internet Explorer OLEDB32.dll mit einer Integritätsebenen-ACL verwendet

  Diese Problemumgehung gilt nur für Windows Vista und neuere Betriebssysteme und erfordert, dass UAC-Eingabeaufforderungen und der geschützte Modus aktiviert sind (entspricht den Standardeinstellungen).

  Speichern Sie den folgenden Text in einem temporären Verzeichnis:

  Für 32-Bit-Systeme

  Speichern Sie in einer Textdatei namens „BlockAccess_x86.inf“

  [Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

  Für 64-Bit-Systeme

  Speichern Sie in einer Textdatei namens „BlockAccess_x64.inf“

  [Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

  Führen Sie den folgenden Befehl vom temporären Verzeichnis aus als Administrator aus:

  SecEdit /configure /db BlockAccess.sdb /cfg <inf file>

  Nach dem Ausführen des Befehls sollten folgende Meldungen angezeigt werden:

  Der Auftrag wurde erfolgreich abgeschlossen.
Detaillierte Informationen befinden sich in der Protokolldatei "%windir%\security\logs\scesrv.log".

  Überprüfen der Problemumgehung

  Um zu überprüfen, ob die Problemumgehung erfolgreich angewendet wurde, führen Sie an einer Eingabeaufforderung die folgenden Befehle aus:

  Für 32-Bit-Systeme

  icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

  Für 64-Bit-Systeme

  icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"
icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

  Durchsuchen Sie jedes Mal, wenn Sie icacls ausführen, die Ausgabe nach folgender Zeile.

  Mandatory Label\Medium Mandatory Level:(NW,NR,NX)

  Auswirkung der Problemumgehung: ADO/OLE DB-Anwendungen, die in Internet Explorer ausgeführt werden, was nicht üblich ist, funktionieren nicht mehr. Die Auswirkungen sind minimal, da alle anderen Prozesse, die mit der Integritätsebene Mittel oder höher ausgeführt werden, die DLL weiterhin laden und verwenden können.

  So machen Sie die Problemumgehung rückgängig

  Speichern Sie den folgenden Text in einem temporären Verzeichnis:

  Für 32-Bit-Systeme

  Speichern Sie in einer Textdatei namens „unBlockAccess_x86.inf“

  [Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

  Für 64-Bit-Systeme

  Speichern Sie in einer Textdatei namens „unBlockAccess_x64.inf“

  [Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

  Führen Sie den folgenden Befehl vom temporären Verzeichnis aus als Administrator aus:

  SecEdit /configure /db UnblockAccess.sdb /cfg <inf file>

  Nach dem Ausführen des Befehls sollten folgende Meldungen angezeigt werden:

  Der Auftrag wurde erfolgreich abgeschlossen.
Detaillierte Informationen befinden sich in der Protokolldatei "%windir%\security\logs\scesrv.log".

• Deaktivieren Sie die Zeilenpositionsfunktionalität von OLEDB32.dll

  Warnung: Eine fehlerhafte Verwendung des Registrierungs-Editors kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft übernimmt keine Garantie dafür, dass Sie Probleme lösen können, die auf das fehlerhafte Verwenden des Registrierungs-Editors zurückzuführen sind. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko.

  Erstellen Sie eine Sicherungskopie der Registrierungsschlüssel, indem Sie an einer erhöhten Eingabeaufforderung folgenden Befehl ausführen:

  Regedit.exe /e Disable_Row_Position_backup.reg HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}

  Nur unter Windows Vista und Windows Server 2008 sollten Sie die Eigentümerschaft von [HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}] übernehmen, und zwar folgendermaßen:

  1. Klicken Sie als Administrator auf Start und auf Ausführen, geben Sie im Feld Öffnen den Befehl regedit ein, und klicken Sie anschließend auf OK
  2. Gehen Sie zu [HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}]
  3. Klicken Sie auf Berechtigung, Erweitert, Besitzer
  4. Ändern Sie Besitzer in Administrator
  5. Klicken Sie auf die entsprechende Option,um dem Administrator vollständige Kontrolle zu gewähren
  6. Wiederholen Sie dies anschließend für alle Unterschlüssel

  Speichern Sie anschließend Folgendes in einer Datei mit der Erweiterung .REG, z. B. Disable_Row_Position.reg:

  Windows Registrierungs-Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}]

  Führen Sie Disable_Row_Position.reg mit folgendem Befehl an einer erhöhten Eingabeaufforderung aus:

  Regedit.exe /s Disable_Row_Position.reg

  Auswirkung der Problemumgehung: Alle ADO-Anwendungen, die die RowPosition-Eigenschaft und verwandte Informationen verwenden, hören auf zu funktionieren. Alle OLE DB-Anwendungen, die die OLE DB-Zeilenpositionsbibliothek verwenden, hören auf zu funktionieren.

  So machen Sie die Problemumgehung rückgängig

  Stellen Sie den ursprünglichen Zustand wieder her, indem Sie an einer erhöhten Eingabeaufforderung folgenden Befehl ausführen:

  Regedit.exe /s Disable_Row_Position_backup.reg

• Heben Sie die Registrierung von OLEDB32.DLL auf

  Führen Sie als Administrator folgende Befehle an einer Eingabeaufforderung aus:

  • Für unterstützte Versionen von Windows 2000, Windows XP, Windows Server 2003, Windows Vista und Windows Server 2008 für 32-Bit-Systeme

    Regsvr32.exe /u "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

  • Für unterstützte Versionen von Windows XP Professional x64 Edition, Windows Server 2003 x64 Edition, Windows Vista x64 Edition, Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für Itanium-basierte Systeme

    Regsvr32.exe /u "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

    Regsvr32.exe /u "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

  Auswirkung der Problemumgehung: Alle OLE DB- und ADO-Anwendungen hören auf zu funktionieren. Dies umfasst alle ASP/ADO-Implementierungen und verknüpften SQL Server-Dienste, alle .NET-Anwendungen, die den System.Data.OLEDB-Namespace verwenden, sowie einige Office-Funktionen, die auf externe Daten zugreifen.

  So machen Sie die Problemumgehung rückgängig

  Führen Sie als Administrator folgende Befehle an einer Eingabeaufforderung aus:

  • Für unterstützte Versionen von Windows 2000, Windows XP, Windows Server 2003, Windows Vista und Windows Server 2008 für 32-Bit-Systeme

    Regsvr32.exe "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

  • Für unterstützte Versionen von Windows XP Professional x64 Edition, Windows Server 2003 x64 Edition, Windows Vista x64 Edition, Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für Itanium-basierte Systeme

    Regsvr32.exe "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

    Regsvr32.exe "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

• Verwenden Sie ACL, um OLEDB32.DLL zu deaktivieren

  Führen Sie als Administrator folgende Befehle an einer Eingabeaufforderung aus:

  • Für unterstützte Versionen von Windows 2000, Windows XP und Windows Server 2003

    cacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /E /P everyone:N

  • Für unterstützte Versionen von Windows XP Professional x64 Edition, Windows Server 2003 x64 Edition und Windows Server 2003 für Itanium-basierte Systeme

    cacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /E /P everyone:N

    cacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll" /E /P everyone:N

  • Für unterstützte Versionen von Windows Vista und Windows Server 2008 für 32-Bit-Systeme

    takeown /f "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

    icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /save %TEMP%\oledb32.32.dll.TXT

    icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /deny everyone:(F)

  • Für unterstützte Versionen von Windows Vista x64 Edition Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für Itanium-basierte Systeme

    takeown /f "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

    icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /save %TEMP%\oledb32.64.dll.TXT

    icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /deny everyone:(F)

    takeown /f "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

    icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll" /save %TEMP%\oledb32.32.dll.TXT

    icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll" /deny everyone:(F)

  Auswirkung der Problemumgehung: Alle OLE DB- und ADO-Anwendungen hören auf zu funktionieren. Dies umfasst alle ASP/ADO-Implementierungen und verknüpften SQL Server-Dienste, alle .NET-Anwendungen, die den System.Data.OLEDB-Namespace verwenden, sowie einige Office-Funktionen, die auf externe Daten zugreifen.

  So machen Sie die Problemumgehung rückgängig

  Führen Sie als Administrator folgende Befehle an einer Eingabeaufforderung aus:

  • Für unterstützte Versionen von Windows 2000, Windows XP und Windows Server 2003

    cacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /E /R everyone

  • Für unterstützte Versionen von Windows XP Professional x64 Edition, Windows Server 2003 x64 Edition und Windows Server 2003 für Itanium-basierte Systeme

    cacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /E /R everyone

    cacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll" /E /R everyone

  • Für unterstützte Versionen von Windows Vista und Windows Server 2008 für 32-Bit-Systeme:

    icacls "%ProgramFiles%\Common Files\System\Ole DB" /restore %TEMP%\oledb32.32.dll.TXT

  • Für unterstützte Versionen von Windows Vista x64 Edition Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für Itanium-basierte Systeme

    icacls "%ProgramFiles%\Common Files\System\Ole DB" /restore %TEMP%\oledb32.32.dll.TXT

    icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB" /restore %TEMP%\oledb32.64.dll.TXT

• Aktivieren Sie DEP für Internet Explorer 7 unter Windows Vista und Windows Server 2008

  Lokale Administratoren können DEP/NX steuern, indem sie Internet Explorer als Administrator ausführen. Führen Sie folgende Schritte aus, um DEP zu aktivieren:

  1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen und dann auf Erweitert.
  2. Klicken Sie auf Speicherschutz aktivieren, um das Risiko von Onlineangriffen zu verringern.

  Auswirkung der Problemumgehung: Unter Umständen sind einige Browsererweiterungen nicht mit DEP kompatibel und werden unerwartet beendet. Wenn dies eintritt, können Sie das Add-On deaktivieren oder mit der Internetsystemsteuerung die DEP-Einstellung wieder umkehren. Diese ist auch über die Systemsteuerung zugänglich.

• Deaktivieren Sie die Datenbindungsunterstützung in Internet Explorer 8 Beta 2

  Führen Sie die folgenden Schritte durch:

  1. Setzen Sie die Sicherheitseinstellungen der Internetzone und der lokalen Intranetzone auf Hoch.
  2. Speichern Sie Folgendes in einer Datei mit der Erweiterung .REG, z. B. Disable_Data_Binding.reg, um den Funktionssteuerungsschlüssel hinzuzufügen:
     
     Windows Registrierungs-Editor Version 5.00
     [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_DATABINDING_SUPPORT]
     "iexplore.exe"=dword:00000000
  3. Führen Sie Disable_Data_Binding.reg mit folgendem Befehl an einer erhöhten Eingabeaufforderung aus:
     
     Regedit.exe /s Disable_Data_Binding.reg

  Auswirkung der Problemumgehung: Diese Problemumgehung deaktiviert die Datenbindung für alle Sicherheitszonen. Websites, die Datenbindung verwenden, werden nicht mehr richtig dargestellt.

  So machen Sie die Problemumgehung rückgängig

  Verwenden Sie die folgende Registrierungsdatei, um den Funktionssteuerungsschlüssel zu entfernen:

  Windows Registrierungs-Editor Version 5.00

  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_DATABINDING_SUPPORT]

Worin genau besteht diese Sicherheitsanfälligkeit? 
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen.

Wenn ein Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Die Sicherheitsanfälligkeit beruht auf einem ungültigen Zeigerverweis in der Datenbindungsfunktion von Internet Explorer. Wenn die Datenbindung aktiviert ist (entspricht dem Standardzustand), ist es unter bestimmten Bedingungen möglich, dass ein Objekt freigegeben wird, ohne die Arraylänge zu aktualisieren, wodurch u. U. auf den Speicherplatz des gelöschten Objekts zugegriffen werden kann. Dies kann dazu führen, dass Internet Explorer in einem ausnutzbaren Zustand unerwartet beendet wird. Infolgedessen kann der Speicher so beschädigt werden, dass ein Angreifer im Kontext des angemeldeten Benutzers beliebigen Code ausführen kann.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Ein Angreifer, der die Sicherheitsanfälligkeit bezüglich Remotecodeausführung erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der lokale Benutzer. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über Internet Explorer ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Der Angreifer kann auch beeinträchtigte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Er muss den Benutzer zu einem Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, in einer E-Mail oder einer Instant Messenger-Anfrage auf einen Link zur Website des Angreifers zu klicken. Es besteht ebenfalls die Möglichkeit, speziell gestalteten Webinhalt mithilfe von Bannerwerbungen anzuzeigen oder Webinhalt auf andere Weise an betroffene Systeme zu übermitteln.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Voraussetzung einer Ausnutzung dieser Sicherheitsanfälligkeit ist, dass ein Benutzer angemeldet ist und E-Mail-Nachrichten liest bzw. Websites besucht. Für Systeme, auf denen E-Mail-Nachrichten gelesen werden oder Internet Explorer aktiv genutzt wird (z. B. Arbeitsstationen oder Terminalserver), besteht daher das größte Risiko. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, E-Mails auf Servern zu lesen und zu durchsuchen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Welche der Problemumgehungen sollte ich auf mein System anwenden, um geschützt zu sein?
Unseren Untersuchungen zufolge sind Benutzer vor bekannten Angriffen geschützt, wenn die Sicherheitseinstellung der Internetzone auf Hoch gesetzt wird. Um den effektivsten Schutz zu erzielen, sollten Benutzer jedoch die Sicherheitseinstellung Hoch und außerdem eine der folgenden Problemumgehungen verwenden.

• Deaktivieren Sie die XML-Dateninsel-Funktionalität
• Verhindern Sie, dass Internet Explorer OLEDB32.dll mit einer Integritätsebenen-ACL verwendet
• Deaktivieren Sie die Zeilenpositionsfunktionalität von OLEDB32.dll
• Heben Sie die Registrierung von OLEDB32.dll auf
• Verwenden Sie ACL, um OLEDB32.dll zu deaktivieren

Zusätzliche Informationen zu Problemumgehungen finden Sie im folgenden Beitrag: .

Jede dieser Problemumgehungen ist gleichermaßen effektiv beim Schutz von Benutzern, hat aber in Abhängigkeit von der Umgebung, in der sie angewendet wird, andere Auswirkungen. Wir ermutigen Benutzer, basierend auf den für jede Problemumgehung angegebenen Auswirkungen selbst zu evaluieren, welche der Problemumgehungen die geringsten Auswirkungen auf ihre Umgebung hat.

Wie werde ich vor dieser Sicherheitsanfälligkeit geschützt, wenn ich die Sicherheitseinstellung der Internetzone auf „Hoch“ setze?
Die Sicherheitseinstellung der Internetzone auf Hoch zu setzen, schützt vor allen derzeit bekannten Ausnutzungen dieser Sicherheitsanfälligkeit, indem Skripterstellung und weniger sichere Funktionen in Internet Explorer deaktiviert und bekannte Verfahren zur Umgehung der Datenausführungsverhinderung (DEP) blockiert werden. Bitte beachten Sie, dass der anfällige Code auch erreicht werden kann, wenn diese Schutzmaßnahmen vorhanden sind. Aktuelle Angriffe wären jedoch nicht erfolgreich, wenn diese Problemumgehungen vorhanden sind.

Wie werde ich durch den geschützten Modus in Internet Explorer 7 und Internet Explorer 8 Beta 2 unter Windows Vista und höher vor dieser Sicherheitsanfälligkeit geschützt?
Internet Explorer 7 und Internet Explorer 8 Beta 2 unter Windows Vista werden in der Internetsicherheitszone standardmäßig im geschütztem Modus ausgeführt. (Der geschützte Modus ist in der Intranetzone standardmäßig deaktiviert.) Der geschützte Modus verringert in bedeutendem Maße die Möglichkeit, dass ein Angreifer Daten auf dem Computer des Benutzers schreibt, verändert oder zerstört oder schädlichen Code installiert. Dies wird mithilfe der Integritätsmechanismen von Windows Vista erreicht, mit denen der Zugriff auf Prozesse, Dateien und Registrierungsschlüssel mit höheren Integritätsebenen eingeschränkt wird.

Was ist die Datenausführungsverhinderung (DEP)?
Die Datenausführungsverhinderung (DEP) ist in Internet Explorer enthalten und standardmäßig in Internet Explorer 7 deaktiviert und in Internet Explorer 8 Beta 2 aktiviert. DEP ist dafür bestimmt, Angriffe zu vereiteln, indem verhindert wird, dass Code in Speicher ausgeführt wird, der als nicht ausführbar markiert ist. Weitere Informationen zu DEP in Internet Explorer finden Sie in folgendem Beitrag: http://blogs.msdn.com/ie/archive/2008/04/08/ie8-security-part-I_3A00_-dep-nx-memory-protection.aspx. Kürzlich wurden Codebeispiele veröffentlicht, in denen Methoden zur Umgehung von DEP vorgeführt wurden. Die in diesem Bulletin enthaltenen Problemumgehungen bezüglich der Verwendung der Sicherheitseinstellung Hoch und des Anwendens der OLEDB32.dll-Problemumgehungen sorgen jedoch weiterhin für ein effektives Blockieren aktueller Angriffe.

Was bewirkt das Update?  
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Internet Explorer Datenbindungsparameter überprüft und den Fehler verarbeitet, der zu der Sicherheitsanfälligkeit führt.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Ja. Diese Sicherheitsanfälligkeit wurde veröffentlicht. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit CVE-2008-4844 zugewiesen.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Ja. Zum Zeitpunkt der Veröffentlichung dieses Security Bulletins hatte Microsoft Informationen erhalten, dass diese Sicherheitsanfälligkeit ausgenutzt wurde.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Hinweis: Für unterstützte Versionen von Windows XP Professional x64 Edition ist dieses Sicherheitsupdate identisch mit unterstützten Versionen des Sicherheitsupdates für Windows Server 2003 x64 Edition.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.