Microsoft Security Bulletin MS09-013 - Kritisch
Sicherheitsanfälligkeiten in den Windows HTTP-Diensten können Remotecodeausführung ermöglichen (960803)
Veröffentlicht: | Aktualisiert:
Version: 1.1
Allgemeine Informationen
Kurzzusammenfassung
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit und zwei vertraulich gemeldete Sicherheitsanfälligkeiten in den Microsoft Windows HTTP-Diensten (WinHTTP). Die schwerste Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista und Windows Server 2008 als Kritisch eingestuft. Weitere Informationen finden Sie in dem Unterabschnitt Betroffene und nicht betroffene Software in diesem Abschnitt.
Das Sicherheitsupdate behandelt die Sicherheitsanfälligkeiten, indem geändert wird, wie die Windows HTTP-Dienste Fehler verarbeiten und Zertifikate überprüfen, und sichergestellt wird, dass Windows HTTP-Dienste die Schutzmechanismen vor Reflektion von NTLM-Anmeldeinformationen richtig verwenden. Weitere Informationen zu den Sicherheitsanfälligkeiten finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ für den bestimmten Sicherheitsanfälligkeitseintrag im nächsten Abschnitt Informationen zu Sicherheitsanfälligkeiten.
Empfehlung. Die Mehrheit der Benutzer hat die automatische Aktualisierung aktiviert und muss keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871.
Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, das Update sofort mit Updateverwaltungssoftware zu installieren bzw. mithilfe des Diensts Microsoft Update auf Updates zu prüfen.
Siehe auch den Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung weiter unten in diesem Bulletin.
Bekannte Probleme. Im Microsoft Knowledge Base-Artikel 960803 werden die derzeit bekannten Probleme dokumentiert, die durch die Installation dieses Sicherheitsupdates unter Umständen auftreten können. Im Artikel werden auch Lösungen für diese Probleme empfohlen.
Betroffene und nicht betroffene Software
Folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen haben entweder das Ende des Lebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder Edition zu ermitteln.
Betroffene Software
*Die Server Core-Installation von Windows Server 2008 ist betroffen. Für unterstützte Editionen von Windows Server 2008 gilt dieses Update mit der gleichen Bewertung des Schweregrads. Dabei spielt es keine Rolle, ob Windows Server 2008 mit der Server Core-Installationsoption installiert wurde oder nicht. Weitere Informationen zu dieser Installationsoption finden Sie unter Server Core. Beachten Sie, dass die Server Core-Installationsoption für bestimmte Editionen von Windows Server 2008 nicht gilt; siehe dazu Vergleichen von Server Core-Installationsoptionen.
Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate
Warum wurde dieses Bulletin am 29. April 2009 überarbeitet?
Dieses Bulletin wurde überarbeitet, um mitzuteilen, dass der Abschnitt Bekannte Probleme mit diesem Sicherheitsupdate im zugehörigen Microsoft Knowledge Base-Artikel 960803 aktualisiert wurde, um ein Kompatibilitätsproblem bei der Anwendung von diesem Update und Systemen zu beschreiben, auf denen der Websense Logon Agent ausgeführt wird und dieser auf die Verwendung der Windows-Authentifizierung mit Herausforderung und Antwort (NTLM) konfiguriert ist.
Wo befinden sich die Dateiinformationen?
Die Dateiinformationen befinden sich im Microsoft Knowledge Base-Artikel 960803.
Sind Windows Server 2008 Service Pack 2 Beta, Windows Vista Service Pack 2 Beta und Windows 7 Beta von dieser Sicherheitsanfälligkeit betroffen?
Ja. Diese Sicherheitsanfälligkeiten wurden nach der Veröffentlichung von Windows Server 2008 Service Pack 2 Beta, Windows Vista Service Pack 2 Beta und Windows 7 Beta gemeldet. Benutzer, die diese Plattformen ausführen, sind angehalten, das Update auf ihre Systeme herunterzuladen und zu installieren.
Sicherheitsupdates sind unter Microsoft Update und Windows-Update verfügbar.
In welcher Beziehung steht dieses Sicherheitsupdate zu MS09-014?
Die Sicherheitsanfälligkeit in den Windows HTTP-Diensten bezüglich Reflektion von Anmeldeinformationen, CVE-2009-0550, die in diesem Security Bulletin beschrieben wird, betrifft auch Internet Explorer und die Windows Internet-API. Microsoft empfiehlt Benutzern von Internet Explorer, auch das von MS09-014, Kumulatives Sicherheitsupdate für Internet Explorer (963027), bereitgestellte Sicherheitsupdate zu installieren.
Welches sind die bekannten Probleme, die bei der Installation dieses Sicherheitsupdates auftreten können?
Im Microsoft Knowledge Base-Artikel 960803 werden die derzeit bekannten Probleme bei der Installation dieses Sicherheitsupdates beschrieben. Im Artikel werden auch Lösungen für diese Probleme empfohlen.
Warum behandelt dieses Update mehrere gemeldete Sicherheitsanfälligkeiten?
Dieses Update bietet Unterstützung für mehrere Sicherheitsanfälligkeiten, da die Änderungen, die zum Beheben dieser Probleme erforderlich sind, in zueinander in Beziehung stehenden Dateien enthalten sind. Auf diese Weise müssen Benutzer nicht mehrere Updates installieren, die nahezu identisch sind, sondern nur dieses eine Update.
Enthält dieses Update sicherheitsbezogene Funktionsänderungen?
Ja, um das in CVE-2009-0089 beschriebene Problem zu beheben, hat Microsoft den neuen Registrierungsschlüssel UseFQDNFallbackForCnCompare unter SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Einstellungen\WinHttp implementiert, der das Verhalten von WinHTTP beim Prüfen des vollqualifizierten Domänennamens eines Hosts anhand des Eintrags des Distinguished Name eines Zertifikats steuert.
Standardmäßig existiert dieser Registrierungsschlüssel nicht. Damit wird sichergestellt, dass WinHTTP korrekt überprüft, ob der im Zertifikat enthaltene Distinguished Name (DN) identisch mit dem DN ist, mit dem die Verbindung initiiert wurde. Das bisherige Verhalten kann durch Setzen dieses Registrierungsschlüssels auf „Wahr“ wieder aktiviert werden. In diesem Fall ist die Überprüfung weniger akkurat und akzeptiert es, wenn das Zertifikat einer Namenänderung durch Weiterleiten auf der DNS-Ebene entspricht. Dieses Verhalten ist das Standardverhalten vor der Installation dieses Sicherheitsupdates und ist weniger sicher.
Ich verwende eine ältere Version der in diesem Security Bulletin beschriebenen Software. Was soll ich tun?
Die in diesem Bulletin aufgeführte betroffene Software wurde daraufhin getestet, welche einzelnen Versionen betroffen sind. Andere Versionen haben das Ende ihrer Supportlebenszyklen erreicht. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion zu ermitteln.
Benutzer älterer Versionen dieser Software sollten möglichst bald zu Versionen migrieren, für die Support angeboten wird, um sich vor künftigen Sicherheitsanfälligkeiten zu schützen. Weitere Informationen zu den Windows-Produktzyklen finden Sie auf der Website Microsoft Support Lifecycle. Weitere Informationen zur erweiterten Unterstützung durch Sicherheitsupdates für diese Softwareversionen oder Editionen finden Sie auf der Website Microsoft Support Services.
Benutzer, die zusätzlichen Support für ältere Software benötigen, müssen sich an ihren Microsoft-Kundenbetreuer, ihren Technical Account Manager oder den jeweiligen Microsoft-Partner wenden, um Supportangebote in Anspruch nehmen zu können. Kunden, die nicht über einen Alliance-, Premier- oder Authorized-Vertrag verfügen, können sich mit der regionalen Microsoft-Vertriebsniederlassung in Verbindung setzen. Kontaktinformationen finden Sie auf der Website Microsoft Worldwide. Wählen Sie Ihr Land aus, und klicken Sie auf Go. Es wird eine Telefonnummer für Ihr Land angezeigt. Wenn Sie unter der angegebenen Nummer anrufen, fragen Sie bitte nach dem regionalen Vertriebsmanager für Premier Support. Weitere Informationen finden Sie unter Häufig gestellte Fragen zum Supportlebenszyklus für Windows.
Informationen zu Sicherheitsanfälligkeiten
Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeit
Bei der folgenden Bewertung des Schweregrads wird die potenzielle maximale Auswirkung der Sicherheitsanfälligkeit angenommen. Informationen zur Wahrscheinlichkeit der Ausnutzung der Sicherheitsanfälligkeit in Bezug auf die Bewertung des Schweregrads und die Sicherheitsauswirkung innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Ausnutzbarkeitsindex im Bulletin Summary für April. Weitere Informationen finden Sie in Microsoft-Ausnutzbarkeitsindex.
| Betroffene Software | Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Ganzzahlunterlauf – CVE-2009-0086 | Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Zertifikatsnamenkonflikt – CVE-2009-0089 | Sicherheitsanfälligkeit in den Windows HTTP-Diensten bezüglich Reflektion von Anmeldeinformationen – CVE-2009-0550 | Bewertung des Gesamtschweregrads |
|---|---|---|---|---|
| Microsoft Windows 2000 Service Pack 4 | Kritisch Remotecodeausführung | Hoch Spoofing | Hoch Remotecodeausführung | Kritisch |
| Windows XP Service Pack 2 und Windows XP Service Pack 3 | Kritisch Remotecodeausführung | Hoch Spoofing | Hoch Remotecodeausführung | Kritisch |
| Windows XP Professional x64 Edition und Windows XP Professional x64 Edition Service Pack 2 | Kritisch Remotecodeausführung | Hoch Spoofing | Hoch Remotecodeausführung | Kritisch |
| Windows Server 2003 Service Pack 1 und Windows Server 2003 Service Pack 2 | Kritisch Remotecodeausführung | Hoch Spoofing | Hoch Remotecodeausführung | Kritisch |
| Windows Server 2003 x64 Edition und Windows Server 2003 x64 Edition Service Pack 2 | Kritisch Remotecodeausführung | Hoch Spoofing | Hoch Remotecodeausführung | Kritisch |
| Windows Server 2003 mit SP1 für Itanium-basierte Systeme und Windows Server 2003 mit SP2 für Itanium-basierte Systeme | Kritisch Remotecodeausführung | Hoch Spoofing | Hoch Remotecodeausführung | Kritisch |
| Windows Vista | Kritisch Remotecodeausführung | Hoch Spoofing | Hoch Remotecodeausführung | Kritisch |
| Windows Vista Service Pack 1 | Kritisch Remotecodeausführung | Nicht anwendbar | Hoch Remotecodeausführung | Kritisch |
| Windows Vista x64 Edition | Kritisch Remotecodeausführung | Hoch Spoofing | Hoch Remotecodeausführung | Kritisch |
| Windows Vista x64 Edition Service Pack 1 | Kritisch Remotecodeausführung | Nicht anwendbar | Hoch Remotecodeausführung | Kritisch |
| Windows Server 2008 für 32-Bit-Systeme* | Kritisch Remotecodeausführung | Nicht anwendbar | Hoch Remotecodeausführung | Kritisch |
| Windows Server 2008 für x64-basierte Systeme* | Kritisch Remotecodeausführung | Nicht anwendbar | Hoch Remotecodeausführung | Kritisch |
| Windows Server 2008 für Itanium-basierte Systeme | Kritisch Remotecodeausführung | Nicht anwendbar | Hoch Remotecodeausführung | Kritisch |
*Die Server Core-Installation von Windows Server 2008 ist betroffen. Für unterstützte Editionen von Windows Server 2008 gilt dieses Update mit der gleichen Bewertung des Schweregrads. Dabei spielt es keine Rolle, ob Windows Server 2008 mit der Server Core-Installationsoption installiert wurde oder nicht. Weitere Informationen zu dieser Installationsoption finden Sie unter Server Core. Beachten Sie, dass die Server Core-Installationsoption für bestimmte Editionen von Windows Server 2008 nicht gilt; siehe dazu Vergleichen von Server Core-Installationsoptionen.
Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Ganzzahlunterlauf – CVE-2009-0086
Eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung wird dadurch verursacht, wie die Windows HTTP-Dienste bestimmte Werte verarbeiten, die von einem Remotewebserver zurückgegeben werden. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer könnte dann Programme installieren und Daten anzeigen, ändern oder löschen oder neue Konten mit denselben Benutzerrechten wie der Dienst oder die Anwendung erstellen, die die WinHTTP-API aufrufen, um eine Verbindung zum Webserver des Angreifers herzustellen.
Informationen zum Anzeigen dieser Sicherheitsanfälligkeit als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2009-0086.
Schadensbegrenzende Faktoren für die Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Ganzzahlunterlauf – CVE-2009-0086
Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:
- Keine der unterstützten Editionen von Internet Explorer ist von dieser Sicherheitsanfälligkeit betroffen, da die Windows HTTP-Dienste von dieser Software nicht verwendet werden.
Problemumgehungen für die Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Ganzzahlunterlauf – CVE-2009-0086
Für diese Sicherheitsanfälligkeit gibt es bislang keine Problemumgehungen.
Häufig gestellte Fragen (FAQs) zur Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Ganzzahlunterlauf – CVE-2009-0086
Worin genau besteht diese Sicherheitsanfälligkeit?
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer könnte dann Programme installieren und Daten anzeigen, ändern oder löschen oder neue Konten mit denselben Benutzerrechten wie der Dienst oder die Anwendung erstellen, die die WinHTTP-API aufrufen, um eine Verbindung zum Webserver des Angreifers herzustellen.
Diese Sicherheitsanfälligkeit betrifft Windows-Komponenten und Anwendungen von Drittanbietern, die die Windows HTTP-Dienste verwenden und konfiguriert wurden, um eine Verbindung zu nicht vertrauenswürdigen Remotewebservern herzustellen.
Was ist die Ursache dieser Sicherheitsanfälligkeit?
Die Sicherheitsanfälligkeit wird durch unzureichende Überprüfung eines Parameters, der von einem Remotewebserver zurückgegeben wird, verursacht. Dies kann die Ausführung von beliebigem Code ermöglichen.
Was sind die Windows HTTP-Dienste?
Windows HTTP-Dienste (WinHTTP) bieten Entwicklern eine HTTP Client-Anwendungsprogrammierschnittstelle (API), um Anforderungen über das HTTP-Protokoll an Webserver zu senden. WinHTTP kann sowohl von Microsoft Windows-Komponenten als auch von Drittanbietersoftware verwendet werden. WinHTTP wird u. a. vom UPnP-Dienst (Universal Plug and Play) verwendet
Was ist Universal Plug and Play?
Universal Plug and Play (UPnP) ist eine Funktion, die es Geräten auf einem Netzwerk ermöglicht, andere Geräte zu erkennen, und festzulegen, wie sie verwendet werden. UPnP ist am besten zu verstehen, wenn es mit der PnP-Funktion (Plug-and-Play) verglichen wird, mit der die meisten Windows-Benutzer bereits vertraut sind. Durch PnP kann das Betriebssystem nach der Installation neuer Hardware diese auf dem System erkennen. Wenn Sie z. B. eine neue Maus auf Ihrem Computer installieren, ermöglicht PnP Windows die Erkennung, das Laden der benötigten Treiber und die Verwendung. UPnP dehnt dieses Konzept auf Geräte auf einem Netzwerk aus, statt nur auf dem lokalen Systems. UPnP ermöglicht es den Computern, andere Geräte zu erkennen und festzulegen, wie sie verwendet werden sollen. Ein Computer könnte UPnP z. B. verwenden, um festzustellen, ob Drucker, die er verwenden kann, auf dem Netzwerk vorhanden sind und wie sie verwendet werden.
Was ist das Simple Service Discovery-Protokoll (SSDP)?
Geräteermittlung ist der Prozess, durch den UPnP-fähige Computer die Verfügbarkeit von Geräten, die sie verwenden können, feststellen und lernen, wie sie Dienste von ihnen anfordern können. Wenn ein UPnP-fähiger Computer startet, können auf dem Netzwerk bereits Geräte vorhanden sein, die er verwenden kann. Um festzustellen, ob dies der Fall ist, sendet der Computer eine Broadcast-Anforderung (genannt M-SEARCH-Direktive) und fordert alle UPnP-fähigen Geräte innerhalb des Subnetzes dazu auf, ihm direkt zu antworten und Informationen über ihre Verwendung bereitzustellen.
Wenn ein Gerät startet, das UPnP unterstützt (z. B. ein UPnP-fähiger Drucker), können bereits UPnP-fähige Computer auf dem Netzwerk vorhanden sein, die dieses Gerät verwenden möchten. Das Gerät sendet eine Nachricht (genannt NOTIFY-Directive) an alle Computer innerhalb des Subnetzes, meldet seine Anwesenheit auf dem Netzwerk und stellt seine Dienste zur Verfügung.
Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der Dienst oder die Anwendung erlangen, die die WinHTTP-API aufrufen, um eine Verbindung zum Webserver des Angreifers herzustellen. Für Anwendungen, die unter Konten ausgeführt werden, die mit geringeren Benutzerrechten für das System konfiguriert sind, kann dies geringere Auswirkungen haben als für Anwendungen, die unter Konten mit administrativen Benutzerrechten ausgeführt werden.
Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?
Ein Angreifer müsste ein Programm, das die Windows HTTP-Dienste verwendet, zwingen oder dazu verleiten, eine Verbindung zu seinem schädlichen Webserver herzustellen. Bitte beachten Sie, dass der UPnP-Service (Universelles Plug and Play) die WinHTTP-Bibliotheken verwendet. Wenn dieser Dienst aktiviert ist, können unbefugte Benutzer u. U. auf dem lokalen Subnetz auf SSDP-Anforderungen antworten und den UPnP-Dienst dazu verleiten, mit Hilfe von WinHTTP eine Verbindung zu einem schädlichen Host herzustellen, der dann diese Sicherheitsanfälligkeit ausnutzen könnte. Der UPnP-Dienst wird unter dem LocalService-Konto ausgeführt, das ein Konto mit begrenzten Berechtigungen auf dem System ist.
Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Arbeitsstationen und Terminalserver sind am meisten gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.
Was bewirkt das Update?
Das Update behebt die Sicherheitsanfälligkeit, indem die Art geändert wird, wie die Windows HTTP-Dienste den Fehler verarbeiten, der zu der Sicherheitsanfälligkeit führt.
War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.
Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.
Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Zertifikatsnamenkonflikt – CVE-2009-0089
Eine Sicherheitsanfälligkeit bzgl. Spoofing liegt in Windows HTTP-Diensten infolge der unvollständigen Überprüfung des Distinguished Name in einem digitalen Zertifikat vor. Durch Kombination mit bestimmten anderen Angriffen, wie z. B. einem Spoofing-Angriff auf DNS, kann ein Angreifer u. U. erfolgreich das digitale Zertifikat einer Website für beliebige Anwendungen, die die Windows HTTP-Dienste verwenden, imitieren.
Informationen zum Anzeigen dieser Sicherheitsanfälligkeit als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2009-0089.
Schadensbegrenzende Faktoren für die Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Zertifikatsnamenkonflikt – CVE-2009-0089
Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:
- Keine der unterstützten Editionen von Internet Explorer ist von dieser Sicherheitsanfälligkeit betroffen, da die Windows HTTP-Dienste von dieser Software nicht verwendet werden.
Problemumgehungen für die Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Zertifikatsnamenkonflikt – CVE-2009-0089
Für diese Sicherheitsanfälligkeit gibt es bislang keine Problemumgehungen.
Häufig gestellte Fragen (FAQs) zur Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Zertifikatsnamenkonflikt – CVE-2009-0089
Worin genau besteht diese Sicherheitsanfälligkeit?
Dies ist eine Sicherheitsanfälligkeit bzgl. Spoofing, die in den Windows HTTP-Diensten vorliegt. Durch Kombination mit bestimmten anderen Angriffen, wie z. B. einem Spoofing-Angriff auf DNS, kann ein Angreifer u. U. erfolgreich das digitale Zertifikat einer Website für beliebige Anwendungen, die die Windows HTTP-Dienste verwenden, imitieren.
Was ist die Ursache dieser Sicherheitsanfälligkeit?
Wenn eine Anwendung die Windows HTTP-Dienste aufruft, um eine Verbindung zu einem Remotewebserver herzustellen, prüft WinHTTP nur den vollqualifizierten Domänennamen der URL anhand des Zertifikats der ursprünglichen Website, zu der der Host eine Verbindung herstellen sollte. Bestimmte Kombinationen von DNS-Spoofing können u. U. eine Verbindung zu einem anderen Webserver weiterleiten, der über ein gültiges Zertifikat für diesen bestimmten Host verfügt, aber nicht für die Webseite, zu der WinHTTP die Verbindung initiiert hat. Die Kombination von DNS-Spoofing und dieser Sicherheitsanfälligkeit kann dazu führen, dass WinHTTP fälschlicherweise das Zertifikat für den Remotewebserver akzeptiert. Da WinHTTP von der Anwendung für Benutzereingriff abhängt, wird der Benutzer möglicherweise nicht von der Anwendung vor dieser Unstimmigkeit gewarnt.
Was sind die Windows HTTP-Dienste?
Windows HTTP-Dienste (WinHTTP) bieten Entwicklern eine HTTP Client-Anwendungsprogrammierschnittstelle (API), um Anforderungen über das HTTP-Protokoll an andere HTTP-Server zu senden.
Was sind digitale Zertifikate?
Das digitale Zertifikat ist eine allgemeine Anmeldeinformation, die zur Authentifizierung der Identität verwendet wird. Eine vertrauenswürdige Organisation weist einem Individuum oder einer Organisation, die Antragsteller dieses Zertifikats ist, ein Zertifikat zu. Die vertrauenswürdige Organisation, die das Zertifikat veröffentlicht, ist eine Zertifizierungsstelle (CA) und ist als Herausgeber des Zertifikats bekannt. Eine vertrauenswürdige CA veröffentlicht ein Zertifikat nur nach Überprüfung der Identität des Antragstellers des Zertifikats.
Was ist DNS-Spoofing?
DNS (Domain Name System) ist eine dem Branchenstandard entsprechende Suite von Protokollen, einschließlich TCP/IP. DNS wird mit zwei Softwarekomponenten implementiert: dem DNS-Server und dem DNS-Client (oder Auflösung). Beide Komponenten werden als Hintergrunddienstanwendungen ausgeführt. Netzwerkressourcen werden anhand numerischer IP-Adressen identifiziert, doch an diese IP-Adressen können Netzwerkbenutzer sich nur schwer erinnern. Die DNS-Datenbank enthält Datensätze, die benutzerfreundliche alphanumerische Namen für Netzwerkressourcen den IP-Adressen zuordnen, die von jenen Ressourcen für die Kommunikation verwendet werden. Auf diese Weise handelt DNS als Gedächtnisstütze, mit deren Hilfe Netzwerkbenutzer sich einfacher an Netzwerkressourcen erinnern können. Weitere Informationen sowie logische Diagramme, in denen die Zusammenarbeit von DNS mit anderen Windows-Technologien illustriert wird, finden Sie in dem TechNet-Artikel Was ist DNS?.
DNS-Spoofing ist eine breite Kategorie von Angriffen, in der an einem Punkt innerhalb des DNS-Systems falsche DNS-Antworten von einem Drittanbieter, der normalerweise nicht verantwortlich für diese Antworten ist, eingeführt werden. Solch ein Angriff kann eine Domäne oder einen Hostnamen in eine IP-Adresse auflösen, in die sie nach Wunsch des Eigentümers des Namens nicht aufgelöst werden sollte Dadurch wird ein Host u. U. dazu verleitet, eine Verbindung zu einem Drittanbieter, einem möglicherweise schädlichen Server, herzustellen.
Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Ein Angreifer könnte eine sichere Website imitieren und mit Hilfe der Windows HTTP-Dienste der Anwendung schädlichen Inhalt anbieten. Diese würden ihm wie Inhalt von einer sicheren Website vertrauen.
Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?
Ein Angreifer müsste diese Sicherheitsanfälligkeit mit DNS-Spoofing oder einem ähnlichen Angriff kombinieren, um die ausgehende Verbindung zu einem von ihm kontrollierten Server umzuleiten. Er würde dann ein für seine Website gültiges Zertifikat anbieten, das von den Windows HTTP-Diensten fälschlicherweise als gültig für die Zielhostwebsite, zu der der Benutzer ursprünglich eine Verbindung herstellen wollte, überprüft würde.
Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Arbeitsstationen und Terminalserver sind am meisten gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.
Was bewirkt das Update?
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie die Windows HTTP-Dienste Zertifikate, die zu einer sicheren Website gehören, überprüfen.
War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.
Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.
Sicherheitsanfälligkeit in den Windows HTTP-Diensten bezüglich Reflektion von Anmeldeinformationen – CVE-2009-0550
Eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung liegt in der Art und Weise vor, in der Windows HTTP-Dienste NTLM-Anmeldeinformationen verarbeiten, wenn ein Benutzer eine Verbindung zum Webserver eines Angreifers herstellt. Diese Sicherheitsanfälligkeit ermöglicht es einem Angreifer, die Anmeldeinformationen des Benutzers zurück an den Angreifer zu senden und Code im Kontext des angemeldeten Benutzers auszuführen. Wenn ein Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
Informationen zum Anzeigen dieser Sicherheitsanfälligkeit als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2009-0550.
Schadensbegrenzende Faktoren für die Sicherheitsanfälligkeit in den Windows HTTP-Diensten bezüglich Reflektion von Anmeldeinformationen – CVE-2009-0550
Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:
- In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Website einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Benutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
- Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
- Bei allen unterstützten Editionen von Windows Vista und Windows Server 2008 wurde das Profil für die Windows-Firewall standardmäßig auf „Öffentlich“ gesetzt, wodurch die Ausnutzung der Sicherheitsanfälligkeit auf diesen Plattformen geringer ist, weil die Firewall in einem öffentlichen Profil SMB-Datenverkehr blockiert. Da der Client für einen erfolgreichen Angriff und zur Reflektion der Anmeldeinformationen einen Dienst ausführen müsste, der NTLM-Authentifizierung akzeptiert, wäre die gängigste Angriffsmethode SMB.
Problemumgehungen für die Sicherheitsanfälligkeit in den Windows HTTP-Diensten bezüglich Reflektion von Anmeldeinformationen – CVE-2009-0550
Für diese Sicherheitsanfälligkeit gibt es bislang keine Problemumgehungen.
Häufig gestellte Fragen (FAQs) zur Sicherheitsanfälligkeit in den Windows HTTP-Diensten bezüglich Reflektion von Anmeldeinformationen – CVE-2009-0550
Worin genau besteht diese Sicherheitsanfälligkeit?
Diese Sicherheitsanfälligkeit kann eine Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.
Außerdem betrifft dieses Problem auch Internet Explorer und die Windows Internet-API. Microsoft empfiehlt Benutzern von Internet Explorer, das von MS09-014, Kumulatives Sicherheitsupdate für Internet Explorer (963027), bereitgestellte Sicherheitsupdate zu installieren.
Was ist die Ursache dieser Sicherheitsanfälligkeit?
Die Windows HTTP-Dienste wählen nicht die richtige Methode zum Schutz der NTLM-Anmeldeinformationen vor Reflektion, um sicherzustellen, dass die Anmeldeinformationen eines Benutzer nicht reflektiert und gegen den Benutzer verwendet werden.
Was sind die Microsoft Windows HTTP-Dienste?
Microsoft Windows HTTP-Dienste (WinHTTP) bieten Entwicklern eine HTTP-Client-Anwendungsprogrammierschnittstelle (API), um Anforderungen über das HTTP-Protokoll an andere HTTP-Server zu senden.
Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Ein Angreifer kann die Rechte des angemeldeten Benutzers erlangen und alle Vorgänge durchführen, für die der angemeldete Benutzer Berechtigungen hat. Wenn ein Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?
Diese Sicherheitsanfälligkeit erfordert, dass ein Benutzer mit einer betroffenen Version der Windows HTTP-Dienste auf einen schädlichen Server zugreift. Ein Angreifer müsste einen speziell gestalteten Webserver hosten, der die NTLM-Anmeldeinformationen des Benutzers erfasst. Der Angreifer sendet anschließend diese Anmeldeinformationen zu einem Dienst auf dem Client des Benutzers, der die NTLM-Authentifizierung akzeptiert. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Arbeitsstationen und Terminalserver sind am meisten gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.
Was bewirkt das Update?
Das Sicherheitsupdate korrigiert die Sicherheitsanfälligkeit, indem sichergestellt wird, dass die Windows HTTP-Dienste die geeigneten Schutzmechanismen für Anmeldeinformationen, die von Windows verfügbar sind, auswählen.
Weshalb ist dieser Sicherheitsanfälligkeit und der „Sicherheitsanfälligkeit in WinINet bezüglich Reflektion von Anmeldeinformationen“ in MS09-014, dem kumulativen Sicherheitsupdate für Internet Explorer (963027), die gleiche CVE-Nummer (CVE-2009-0550) zugewiesen?
CVE-2009-0550 betrifft sowohl WinINet, das von Internet Explorer verwendet wird, als auch Windows HTTP-Dienste, eine Komponente des Windows-Betriebssystems. Microsoft empfiehlt Benutzern von Internet Explorer, auch das von MS09-014, Kumulatives Sicherheitsupdate für Internet Explorer (963027), bereitgestellte Sicherheitsupdate zu installieren.
War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Ja. Diese Sicherheitsanfälligkeit wurde veröffentlicht. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit CVE-2009-0550 zugewiesen.
Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.
Informationen zum Update
Tools und Anleitungen zur Erkennung und Bereitstellung
Verwalten Sie die Software und die Sicherheitsupdates, die Sie den Servern, Desktops und mobilen Computern in Ihrer Organisation bereitstellen müssen. Weitere Informationen finden Sie im TechNet Update Management Center. Die Microsoft-Website TechNet Sicherheit bietet weitere Informationen zur Sicherheit von Microsoft-Produkten.
Sicherheitsupdates sind auch über Microsoft Update, Windows Update und Office Update verfügbar. Sicherheitsupdates sind auch im Microsoft Download Center verfügbar und können am einfachsten durch eine Suche nach dem Begriff „Sicherheitsupdate“ ermittelt werden.
Außerdem können Sicherheitsupdates vom Windows Update-Katalog heruntergeladen werden. Der Microsoft Update-Katalog stellt einen durchsuchbaren Katalog der Inhalte bereit, die über Windows Update und Microsoft Update zur Verfügung gestellt werden, einschließlich Sicherheitsupdates, Treiber und Service Packs. Indem Sie mit der Nummer des Security Bulletins suchen (z. B. „MS07-036“), können Sie Ihrem Warenkorb alle anwendbaren Updates (einschließlich verschiedener Sprachen für ein Update) hinzufügen und in den Ordner Ihrer Wahl herunterladen. Weitere Informationen zum Microsoft Update-Katalog, finden Sie unter Häufig gestellte Fragen zum Microsoft Update-Katalog.
Anleitungen zur Erkennung und Bereitstellung
Zu den Sicherheitsupdates dieses Monats stellt Microsoft Anleitungen zur Erkennung und Bereitstellung zur Verfügung: Diese Anleitungen geben auch IT-Profis Informationen zum Einsatz der verschiedenen Tools und zur Bereitstellung des Sicherheitsupdates. Behandelt werden u. a. Windows Update, Microsoft Update, Office Update, Microsoft Baseline Security Analyzer (MBSA), Office Detection Tool, Microsoft Systems Management Server (SMS) und das Extended Security Update Inventory Tool. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 910723.
Microsoft Baseline Security Analyzer
Der Microsoft Baseline Security Analyzer (MBSA) ermöglicht Administratoren die Überprüfung von lokalen und Remotesystemen im Hinblick auf fehlende Sicherheitsupdates sowie auf häufig falsch konfigurierte Sicherheitsparameter. Weitere Informationen zu MBSA finden Sie auf der Website Microsoft Baseline Security Analyzer.
In der folgenden Tabelle ist die Zusammenfassung zur MBSA-Erkennung für dieses Sicherheitsupdate enthalten.
| Software | MBSA 2.1 |
|---|---|
| Microsoft Windows 2000 Service Pack 4 | Ja |
| Windows XP Service Pack 2 und Windows XP Service Pack 3 | Ja |
| Windows XP Professional x64 Edition und Windows XP Professional x64 Edition Service Pack 2 | Ja |
| Windows Server 2003 Service Pack 1 und Windows Server 2003 Service Pack 2 | Ja |
| Windows Server 2003 x64 Edition und Windows Server 2003 x64 Edition Service Pack 2 | Ja |
| Windows Server 2003 mit SP1 für Itanium-basierte Systeme und Windows Server 2003 mit SP2 für Itanium-basierte Systeme | Ja |
| Windows Vista und Windows Vista Service Pack 1 | Ja |
| Windows Vista x64 Edition und Windows Vista x64 Edition Service Pack 1 | Ja |
| Windows Server 2008 für 32-Bit-Systeme | Ja |
| Windows Server 2008 für x64-basierte Systeme | Ja |
| Windows Server 2008 für Itanium-basierte Systeme | Ja |
Weitere Informationen zu MBSA 2.1 finden Sie unter Häufig gestellte Fragen zu MBSA 2.1.
Windows Server Update Services
Mithilfe der Windows Server Update Services (WSUS) können Administratoren die neuesten kritischen Aktualisierungen und Sicherheitsupdates für Office XP und höher, Exchange Server 2003 und SQL Server 2000 für Windows 2000 und neuere Betriebssysteme bereitstellen. Weitere Informationen zum Bereitstellen dieses Sicherheitsupdates mithilfe der Windows Server Update Services finden Sie auf der Windows Server Update Services-Website.
Systems Management Server
Die folgende Tabelle enthält eine Zusammenfassung zur SMS-Erkennung und -Bereitstellung für dieses Sicherheitsupdate.
| Software | SMS 2.0 | SMS 2003 mit SUSFP | SMS 2003 mit ITMU | Configuration Manager 2007 |
|---|---|---|---|---|
| Microsoft Windows 2000 Service Pack 4 | Ja | Ja | Ja | Ja |
| Windows XP Service Pack 2 und Windows XP Service Pack 3 | Ja | Ja | Ja | Ja |
| Windows XP Professional x64 Edition und Windows XP Professional x64 Edition Service Pack 2 | Nein | Nein | Ja | Ja |
| Windows Server 2003 Service Pack 1 und Windows Server 2003 Service Pack 2 | Ja | Ja | Ja | Ja |
| Windows Server 2003 x64 Edition und Windows Server 2003 x64 Edition Service Pack 2 | Nein | Nein | Ja | Ja |
| Windows Server 2003 mit SP1 für Itanium-basierte Systeme und Windows Server 2003 mit SP2 für Itanium-basierte Systeme | Nein | Nein | Ja | Ja |
| Windows Vista und Windows Vista Service Pack 1 | Nein | Nein | Siehe Hinweis für Windows Vista und Windows Server 2008 weiter unten | Ja |
| Windows Vista x64 Edition und Windows Vista x64 Edition Service Pack 1 | Nein | Nein | Siehe Hinweis für Windows Vista und Windows Server 2008 weiter unten | Ja |
| Windows Server 2008 für 32-Bit-Systeme | Nein | Nein | Siehe Hinweis für Windows Vista und Windows Server 2008 weiter unten | Ja |
| Windows Server 2008 für x64-basierte Systeme | Nein | Nein | Siehe Hinweis für Windows Vista und Windows Server 2008 weiter unten | Ja |
| Windows Server 2008 für Itanium-basierte Systeme | Nein | Nein | Siehe Hinweis für Windows Vista und Windows Server 2008 weiter unten | Ja |
Im Fall von SMS 2.0 und SMS 2003 kann das SMS SUS Feature Pack, das das Sicherheitsupdate-Inventurprogramm (SUIT) enthält, von SMS zum Auffinden von Sicherheitsupdates verwendet werden. Siehe auch Downloads für Systems Management Server 2.0.
Im Fall von SMS 2003 kann von SMS zum Auffinden von unter Microsoft Updates erhältlichen Sicherheitsupdates und Updates, die von Windows Server Update Services unterstützt werden, das SMS 2003-Inventurprogramm für Microsoft-Updates (ITMU) verwendet werden. Weitere Informationen zum SMS 2003-Inventurprogramm für Microsoft-Updates finden Sie auf der Website SMS 2003-Inventurprogramm für Microsoft Updates. SMS 2003 kann auch das Microsoft Office-Inventurprogramm zur Erkennung der für Microsoft Office-Anwendungen erforderlichen Updates verwenden. Weitere Informationen zum Office-Inventurprogramm und anderen Scanning Tools finden Sie unter SMS 2003 Software Update Scanning Tools. Siehe auch Downloads für Systems Management Server 2003.
System Center Configuration Manager 2007 verwendet WSUS 3.0 für die Erkennung von Updates. Weitere Informationen zur Configuration Manager 2007-Softwareupdateverwaltung finden Sie auf der Website zu System Center Configuration Manager 2007.
Hinweis für Windows Vista und Windows Server 2008 Microsoft Systems Management Server 2003 mit Service Pack 3 enthält Unterstützung für Windows Vista und Windows Server 2008-Verwaltbarkeit.
Weitere Informationen zu SMS finden Sie auf der SMS-Website.
Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 910723: Zusammenfassungsliste der monatlichen Anleitungen zur Erkennung und Bereitstellung.
Updatekompatibilitätsbewertung und Anwendungskompatibilitäts-Toolkit
Updates bearbeiten oft dieselben Dateien und Registrierungseinstellungen, die zum Ausführen Ihrer Anwendungen benötigt werden. Dies kann eine Inkompatibilität auslösen und die Bereitstellung von Sicherheitsupdates verzögern. Mit den Komponenten zur Updatekompatibilitätsbewertung, die im Anwendungskompatibilitäts-Toolkit 5.0 enthalten sind, können Sie die Vereinbarkeit von Windows-Updates mit installierten Anwendungen testen und überprüfen.
Das Anwendungskompatibilitäts-Toolkit (ACT) enthält alle notwendigen Tools und Dokumentationen, um die Anwendungskompatibilität zu prüfen und eventuelle Probleme zu beheben, bevor Microsoft Windows Vista, ein Windows-Update, ein Microsoft-Sicherheitsupdate oder eine neue Version von Windows Internet Explorer in Ihrer Umgebung bereitgestellt wird.
Bereitstellung von Sicherheitsupdates
Betroffene Software
Um Informationen zum jeweiligen Sicherheitsupdate für Ihre betroffene Software zu erhalten, klicken Sie auf den entsprechenden Link:
Windows 2000 (alle Editionen)
Referenztabelle
Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.
| Aufnahme in zukünftige Service Packs: | Das Update für dieses Problem wird möglicherweise in zukünftigen Update-Rollups enthalten sein. |
| Bereitstellung: | |
| Installieren ohne Benutzereingriff | Für Microsoft Windows 2000 Service Pack 4: Windows2000-KB960803-x86-ENU /quiet |
| Installieren ohne neu zu starten | Für Microsoft Windows 2000 Service Pack 4: Windows2000-KB960803-x86-ENU /norestart |
| Protokolldatei aktualisieren | Für Microsoft Windows 2000 Service Pack 4: kb960803.log |
| Weitere Informationen | Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung |
| Neustartanforderung: | |
| Neustart erforderlich? | Ja, Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben. |
| HotPatching | Nicht anwendbar |
| Informationen zur Deinstallation: | Für Microsoft Windows 2000 Service Pack 4: Verwenden Sie die Option Software in der Systemsteuerung oder das Dienstprogramm Spuninst.exe im Ordner %Windir%\$NTUninstallKB960803$\Spuninst. |
| Dateiinformationen: | Siehe Microsoft Knowledge Base-Artikel 960803. |
| Überprüfung des Registrierungsschlüssels | Für Microsoft Windows Service Pack 4: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB960803\Filelist |
Informationen zur Bereitstellung
Installieren des Updates
Wenn Sie dieses Sicherheitsupdate installieren, prüft der Installer, ob Dateien, die auf dem Computer aktualisiert werden, zuvor durch einen Microsoft-Hotfix aktualisiert wurden.
Wenn Sie kürzlich einen Hotfix installiert haben, um eine dieser Dateien zu aktualisieren, dann kopiert das Installationsprogramm die RTMQFE-, SP1QFE bzw. SP2QFE-Dateien auf Ihr System. Andernfalls kopiert das Installationsprogramm die Dateien RTMGDR, SP1GDR oder SP2GDR auf Ihr System. Möglicherweise enthalten die Sicherheitsupdates nicht alle Varianten dieser Dateien. Weitere Informationen hierzu finden Sie im Microsoft Knowledge Base-Artikel 824994.
Weitere Informationen zum Installationsprogramm finden Sie auf der Microsoft TechNet Website.
Weitere Informationen zu der in diesem Bulletin verwendeten Terminologie, wie z. B. Hotfix, finden Sie im Microsoft Knowledge Base-Artikel 824684.
Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.
| Option | Beschreibung |
|---|---|
| /help | Zeigt die Befehlszeilenoptionen an. |
| Installationsmodi | |
| /passive | Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird. |
| /quiet | Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt. |
| Neustartoptionen | |
| /norestart | Kein Neustart nach Abschluss der Installation. |
| /forcerestart | Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern. |
| /warnrestart[:x] | Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden. |
| /promptrestart | Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird. |
| Besondere Optionen | |
| /overwriteoem | Überschreibt OEM-Dateien ohne Bestätigung. |
| /nobackup | Erstellt keine Sicherungskopien der Dateien für die Deinstallation. |
| /forceappsclose | Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers. |
| /log:Pfad | Speichert die Installationsprotokolldateien im angegebenen Pfad. |
| /extract[:Pfad] | Extrahiert Dateien, ohne das Setup-Programm zu starten. |
| /ER | Aktiviert erweiterte Fehlerberichterstattung. |
| /verbose | Aktiviert eine ausführliche Protokollierung. Erstellt während der Installation die Datei %Windir%\CabBuild.log. In diesem Protokoll werden die kopierten Dateien aufgeführt. Die Verwendung dieser Option kann den Installationsvorgang entscheidend verlangsamen. |
Hinweis Diese Optionen können in einem Befehl kombiniert werden. Aus Gründen der Abwärtskompatibilität unterstützt das Sicherheitsupdate auch die Installationsoptionen, die von der früheren Version des Installationsprogramms verwendet wurden. Weitere Informationen zu den möglichen Installationsoptionen finden Sie im Microsoft Knowledge Base-Artikel 262841.
Entfernen des Updates
Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.
| Option | Beschreibung |
|---|---|
| /help | Zeigt die Befehlszeilenoptionen an. |
| Installationsmodi | |
| /passive | Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird. |
| /quiet | Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt. |
| Neustartoptionen | |
| /norestart | Kein Neustart nach Abschluss der Installation. |
| /forcerestart | Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern. |
| /warnrestart[:x] | Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden. |
| /promptrestart | Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird. |
| Besondere Optionen | |
| /forceappsclose | Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers. |
| /log:Pfad | Speichert die Installationsprotokolldateien im angegebenen Pfad. |
Überprüfen der Updateinstallation
- Microsoft Baseline Security Analyzer
Um zu überprüfen, ob das Sicherheitsupdate auf einem betroffenen System installiert wurde, können Sie möglicherweise das Tool MBSA (Microsoft Baseline Security Analyzer) verwenden. Weitere Informationen finden Sie im Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung in diesem Bulletin.
- Überprüfung der Dateiversion
Da mehrere Editionen von Microsoft Windows verfügbar sind, können die auf Ihrem Computer erforderlichen Schritte von den angegebenen Schritten abweichen. Lesen Sie in diesem Fall die Produktdokumentation, um die erforderlichen Schritte durchzuführen.
- Klicken Sie auf Start und dann auf Suchen.
- Klicken Sie im Bereich Suchergebnisse unter Such-Assistent auf Alle Dateien und Ordner.
- Geben Sie im Feld Gesamter oder Teil des Dateinamens den Dateinamen aus der entsprechenden Dateiinformationstabelle an, und klicken Sie dann auf Suchen.
- Klicken Sie in der Liste der Dateien mit der rechten Maustaste auf einen Dateinamen in der entsprechenden Dateiinformationstabelle, und klicken Sie dann auf Eigenschaften.
Hinweis Je nach der Edition des Betriebssystems oder den Programmen, die auf Ihrem System installiert sind, sind u. U. einige der in der Dateiinformationstabelle aufgeführten Dateien nicht installiert. - Ermitteln Sie mithilfe der Registerkarte Version die Version der Datei, die auf Ihrem Computer installiert ist, indem Sie diese mit der Version vergleichen, die in der entsprechenden Dateiinformationstabelle aufgeführt wird.
Hinweis Neben der Dateiversion ändern sich bei der Installation möglicherweise auch andere Attribute. Andere Dateiattribute anhand der Daten in der Dateiinformationstabelle zu vergleichen, ist keine empfohlene Methode, um zu überprüfen, ob das Update installiert wurde. In bestimmten Fällen werden Dateien möglicherweise während der Installation umbenannt. Wenn Datei- oder Versionsinformationen nicht vorhanden sind, wählen Sie eine andere Methode, um die Updateinstallation zu überprüfen.
- Überprüfung des Registrierungsschlüssels
Möglicherweise können Sie die Dateien, die von diesem Sicherheitsupdate installiert wurden, auch durch die Prüfung des Registrierungsschlüssels in der Referenztabelle in diesem Abschnitt überprüfen.
Diese Registrierungsschlüssel enthalten möglicherweise keine vollständige Liste der installierten Dateien. Zudem werden die Registrierungsschlüssel möglicherweise nicht einwandfrei erstellt, wenn ein Administrator oder OEM dieses Sicherheitsupdate in die Windows-Installationsquelldateien integriert oder einbindet.
Windows XP (alle Editionen)
Referenztabelle
Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.
| Aufnahme in zukünftige Service Packs: | Das Update für dieses Problem wird in einem zukünftigen Service Pack oder Update-Rollup enthalten sein. |
| Bereitstellung: | |
| Installieren ohne Benutzereingriff | Für alle unterstützten 32-Bit-Editionen von Windows XP: WindowsXP-KB960803-x86-ENU /quiet |
| Für alle unterstützten x64-basierten Editionen von Windows XP: WindowsServer2003.WindowsXP-KB960803-x64-ENU /quiet | |
| Installieren ohne neu zu starten | Für alle unterstützten 32-Bit-Editionen von Windows XP: WindowsXP-KB960803-x86-ENU /norestart |
| Für alle unterstützten x64-basierten Editionen von Windows XP: WindowsServer2003.WindowsXP-KB960803-x64-ENU /norestart | |
| Protokolldatei aktualisieren | KB960803.log |
| Weitere Informationen | Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung |
| Neustartanforderung: | |
| Neustart erforderlich? | Ja, Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben. |
| HotPatching | Nicht anwendbar |
| Informationen zur Deinstallation: | Verwenden Sie die Option Software in der Systemsteuerung oder das Dienstprogramm Spuninst.exe im Ordner %Windir%\$NTUninstallKB960803$\Spuninst. |
| Dateiinformationen: | Siehe Microsoft Knowledge Base-Artikel 960803. |
| Überprüfung des Registrierungsschlüssels | Für alle unterstützten 32-Bit-Editionen von Windows XP: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP4\KB960803\Filelist |
| Für alle unterstützten x64-basierten Editionen von Windows XP: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB960803\Filelist |
Hinweis Für unterstützte Versionen von Windows XP Professional x64 Edition ist dieses Sicherheitsupdate identisch mit unterstützten Versionen des Sicherheitsupdates für Windows Server 2003 x64 Edition.
Informationen zur Bereitstellung
Installieren des Updates
Wenn Sie dieses Sicherheitsupdate installieren, prüft der Installer, ob Dateien, die auf dem Computer aktualisiert werden, zuvor durch einen Microsoft-Hotfix aktualisiert wurden.
Wenn Sie kürzlich einen Hotfix installiert haben, um eine dieser Dateien zu aktualisieren, dann kopiert das Installationsprogramm die RTMQFE-, SP1QFE bzw. SP2QFE-Dateien auf Ihr System. Andernfalls kopiert das Installationsprogramm die Dateien RTMGDR, SP1GDR oder SP2GDR auf Ihr System. Möglicherweise enthalten die Sicherheitsupdates nicht alle Varianten dieser Dateien. Weitere Informationen hierzu finden Sie im Microsoft Knowledge Base-Artikel 824994.
Weitere Informationen zum Installationsprogramm finden Sie auf der Microsoft TechNet Website.
Weitere Informationen zu der in diesem Bulletin verwendeten Terminologie, wie z. B. Hotfix, finden Sie im Microsoft Knowledge Base-Artikel 824684.
Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.
| Option | Beschreibung |
|---|---|
| /help | Zeigt die Befehlszeilenoptionen an. |
| Installationsmodi | |
| /passive | Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird. |
| /quiet | Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt. |
| Neustartoptionen | |
| /norestart | Kein Neustart nach Abschluss der Installation. |
| /forcerestart | Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern. |
| /warnrestart[:x] | Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden. |
| /promptrestart | Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird. |
| Besondere Optionen | |
| /overwriteoem | Überschreibt OEM-Dateien ohne Bestätigung. |
| /nobackup | Erstellt keine Sicherungskopien der Dateien für die Deinstallation. |
| /forceappsclose | Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers. |
| /log:Pfad | Speichert die Installationsprotokolldateien im angegebenen Pfad. |
| /integrate:Pfad | Integriert das Update in die Windows-Quelldateien. Diese Dateien befinden sich im Pfad, der in der Installationsoption angegeben ist. |
| /extract[:Pfad] | Extrahiert Dateien, ohne das Setup-Programm zu starten. |
| /ER | Aktiviert erweiterte Fehlerberichterstattung. |
| /verbose | Aktiviert eine ausführliche Protokollierung. Erstellt während der Installation die Datei %Windir%\CabBuild.log. In diesem Protokoll werden die kopierten Dateien aufgeführt. Die Verwendung dieser Option kann den Installationsvorgang entscheidend verlangsamen. |
Hinweis Diese Optionen können in einem Befehl kombiniert werden. Aus Gründen der Abwärtskompatibilität unterstützt das Sicherheitsupdate auch die Installationsoptionen, die von der früheren Version des Installationsprogramms verwendet wurden. Weitere Informationen zu den möglichen Installationsoptionen finden Sie im Microsoft Knowledge Base-Artikel 262841.
Entfernen des Updates
Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.
| Option | Beschreibung |
|---|---|
| /help | Zeigt die Befehlszeilenoptionen an. |
| Installationsmodi | |
| /passive | Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird. |
| /quiet | Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt. |
| Neustartoptionen | |
| /norestart | Kein Neustart nach Abschluss der Installation |
| /forcerestart | Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern. |
| /warnrestart[:x] | Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden. |
| /promptrestart | Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird. |
| Besondere Optionen | |
| /forceappsclose | Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers. |
| /log:Pfad | Speichert die Installationsprotokolldateien im angegebenen Pfad. |
Überprüfen der Updateinstallation
- Microsoft Baseline Security Analyzer
Um zu überprüfen, ob das Sicherheitsupdate auf einem betroffenen System installiert wurde, können Sie möglicherweise das Tool MBSA (Microsoft Baseline Security Analyzer) verwenden. Weitere Informationen finden Sie im Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung in diesem Bulletin.
- Überprüfung der Dateiversion
Da mehrere Editionen von Microsoft Windows verfügbar sind, können die auf Ihrem Computer erforderlichen Schritte von den angegebenen Schritten abweichen. Lesen Sie in diesem Fall die Produktdokumentation, um die erforderlichen Schritte durchzuführen.
- Klicken Sie auf Start und dann auf Suchen.
- Klicken Sie im Bereich Suchergebnisse unter Such-Assistent auf Alle Dateien und Ordner.
- Geben Sie im Feld Gesamter oder Teil des Dateinamens den Dateinamen aus der entsprechenden Dateiinformationstabelle an, und klicken Sie dann auf Suchen.
- Klicken Sie in der Liste der Dateien mit der rechten Maustaste auf einen Dateinamen in der entsprechenden Dateiinformationstabelle, und klicken Sie dann auf Eigenschaften.
Hinweis Je nach der Edition des Betriebssystems oder den Programmen, die auf Ihrem System installiert sind, sind u. U. einige der in der Dateiinformationstabelle aufgeführten Dateien nicht installiert. - Ermitteln Sie mithilfe der Registerkarte Version die Version der Datei, die auf Ihrem Computer installiert ist, indem Sie diese mit der Version vergleichen, die in der entsprechenden Dateiinformationstabelle aufgeführt wird.
Hinweis Neben der Dateiversion ändern sich bei der Installation möglicherweise auch andere Attribute. Andere Dateiattribute anhand der Daten in der Dateiinformationstabelle zu vergleichen, ist keine empfohlene Methode, um zu überprüfen, ob das Update installiert wurde. In bestimmten Fällen werden Dateien möglicherweise während der Installation umbenannt. Wenn Datei- oder Versionsinformationen nicht vorhanden sind, wählen Sie eine andere Methode, um die Updateinstallation zu überprüfen.
- Überprüfung des Registrierungsschlüssels
Möglicherweise können Sie die Dateien, die von diesem Sicherheitsupdate installiert wurden, auch durch die Prüfung des Registrierungsschlüssels in der Referenztabelle in diesem Abschnitt überprüfen.
Diese Registrierungsschlüssel enthalten möglicherweise keine vollständige Liste der installierten Dateien. Zudem werden die Registrierungsschlüssel möglicherweise nicht einwandfrei erstellt, wenn ein Administrator oder OEM dieses Sicherheitsupdate in die Windows-Installationsquelldateien integriert oder einbindet.
Windows Server 2003 (alle Editionen)
Referenztabelle
Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.
| Aufnahme in zukünftige Service Packs: | Das Update für dieses Problem wird in einem zukünftigen Service Pack oder Update-Rollup enthalten sein. |
| Bereitstellung: | |
| Installieren ohne Benutzereingriff | Für alle unterstützten 32-Bit-Editionen von Windows Server 2003: WindowsServer2003-KB960803-x86-ENU /quiet |
| Für alle unterstützten x64-basierten Editionen von Windows Server 2003: WindowsServer2003.WindowsXP-KB960803-x64-ENU /quiet | |
| Für alle unterstützten Itanium-basierten Editionen von Windows Server 2003: WindowsServer2003-KB960803-ia64-ENU /quiet | |
| Installieren ohne neu zu starten | Für alle unterstützten 32-Bit-Editionen von Windows Server 2003: WindowsServer2003-KB960803-x86-ENU /norestart |
| Für alle unterstützten x64-basierten Editionen von Windows Server 2003: WindowsServer2003.WindowsXP-KB960803-x64-ENU /norestart | |
| Für alle unterstützten Itanium-basierten Editionen von Windows Server 2003: WindowsServer2003-KB960803-ia64-ENU /norestart | |
| Protokolldatei aktualisieren | KB960803.log |
| Weitere Informationen | Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung |
| Neustartanforderung: | |
| Neustart erforderlich? | Ja, Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben. |
| HotPatching | Dieses Sicherheitsupdate unterstützt kein HotPatching. Weitere Informationen zum HotPatching finden Sie im Microsoft Knowledge Base-Artikel 897341. |
| Informationen zur Deinstallation: | Verwenden Sie die Option Software in der Systemsteuerung oder das Dienstprogramm Spuninst.exe im Ordner %Windir%\$NTUninstallKB960803$\Spuninst. |
| Dateiinformationen: | Siehe Microsoft Knowledge Base-Artikel 960803. |
| Überprüfung des Registrierungsschlüssels | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB960803\Filelist |
Informationen zur Bereitstellung
Installieren des Updates
Wenn Sie dieses Sicherheitsupdate installieren, prüft der Installer, ob Dateien, die auf dem Computer aktualisiert werden, zuvor durch einen Microsoft-Hotfix aktualisiert wurden.
Wenn Sie kürzlich einen Hotfix installiert haben, um eine dieser Dateien zu aktualisieren, dann kopiert das Installationsprogramm die RTMQFE-, SP1QFE bzw. SP2QFE-Dateien auf Ihr System. Andernfalls kopiert das Installationsprogramm die Dateien RTMGDR, SP1GDR oder SP2GDR auf Ihr System. Möglicherweise enthalten die Sicherheitsupdates nicht alle Varianten dieser Dateien. Weitere Informationen hierzu finden Sie im Microsoft Knowledge Base-Artikel 824994.
Weitere Informationen zum Installationsprogramm finden Sie auf der Microsoft TechNet Website.
Weitere Informationen zu der in diesem Bulletin verwendeten Terminologie, wie z. B. Hotfix, finden Sie im Microsoft Knowledge Base-Artikel 824684.
Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.
| Option | Beschreibung |
|---|---|
| /help | Zeigt die Befehlszeilenoptionen an. |
| Installationsmodi | |
| /passive | Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird. |
| /quiet | Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt. |
| Neustartoptionen | |
| /norestart | Kein Neustart nach Abschluss der Installation. |
| /forcerestart | Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern. |
| /warnrestart[:x] | Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden. |
| /promptrestart | Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird. |
| Besondere Optionen | |
| /overwriteoem | Überschreibt OEM-Dateien ohne Bestätigung. |
| /nobackup | Erstellt keine Sicherungskopien der Dateien für die Deinstallation. |
| /forceappsclose | Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers. |
| /log:Pfad | Speichert die Installationsprotokolldateien im angegebenen Pfad. |
| /integrate:Pfad | Integriert das Update in die Windows-Quelldateien. Diese Dateien befinden sich im Pfad, der in der Installationsoption angegeben ist. |
| /extract[:Pfad] | Extrahiert Dateien, ohne das Setup-Programm zu starten. |
| /ER | Aktiviert erweiterte Fehlerberichterstattung. |
| /verbose | Aktiviert eine ausführliche Protokollierung. Erstellt während der Installation die Datei %Windir%\CabBuild.log. In diesem Protokoll werden die kopierten Dateien aufgeführt. Die Verwendung dieser Option kann den Installationsvorgang entscheidend verlangsamen. |
Hinweis Diese Optionen können in einem Befehl kombiniert werden. Aus Gründen der Abwärtskompatibilität unterstützt das Sicherheitsupdate auch zahlreiche Installationsoptionen, die von der früheren Version des Installationsprogramms verwendet wurden. Weitere Informationen zu den möglichen Installationsoptionen finden Sie im Microsoft Knowledge Base-Artikel 262841.
Entfernen des Updates
Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.
| Option | Beschreibung |
|---|---|
| /help | Zeigt die Befehlszeilenoptionen an. |
| Installationsmodi | |
| /passive | Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird. |
| /quiet | Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt. |
| Neustartoptionen | |
| /norestart | Kein Neustart nach Abschluss der Installation. |
| /forcerestart | Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern. |
| /warnrestart[:x] | Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden. |
| /promptrestart | Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird. |
| Besondere Optionen | |
| /forceappsclose | Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers. |
| /log:Pfad | Speichert die Installationsprotokolldateien im angegebenen Pfad. |
Überprüfen der Updateinstallation
- Microsoft Baseline Security Analyzer
Um zu überprüfen, ob das Sicherheitsupdate auf einem betroffenen System installiert wurde, können Sie möglicherweise das Tool MBSA (Microsoft Baseline Security Analyzer) verwenden. Weitere Informationen finden Sie im Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung in diesem Bulletin.
- Überprüfung der Dateiversion
Da mehrere Editionen von Microsoft Windows verfügbar sind, können die auf Ihrem Computer erforderlichen Schritte von den angegebenen Schritten abweichen. Lesen Sie in diesem Fall die Produktdokumentation, um die erforderlichen Schritte durchzuführen.
- Klicken Sie auf Start und dann auf Suchen.
- Klicken Sie im Bereich Suchergebnisse unter Such-Assistent auf Alle Dateien und Ordner.
- Geben Sie im Feld Gesamter oder Teil des Dateinamens den Dateinamen aus der entsprechenden Dateiinformationstabelle an, und klicken Sie dann auf Suchen.
- Klicken Sie in der Liste der Dateien mit der rechten Maustaste auf einen Dateinamen in der entsprechenden Dateiinformationstabelle, und klicken Sie dann auf Eigenschaften.
Hinweis Je nach der Edition des Betriebssystems oder den Programmen, die auf Ihrem System installiert sind, sind u. U. einige der in der Dateiinformationstabelle aufgeführten Dateien nicht installiert. - Ermitteln Sie mithilfe der Registerkarte Version die Version der Datei, die auf Ihrem Computer installiert ist, indem Sie diese mit der Version vergleichen, die in der entsprechenden Dateiinformationstabelle aufgeführt wird.
Hinweis Neben der Dateiversion ändern sich bei der Installation möglicherweise auch andere Attribute. Andere Dateiattribute anhand der Daten in der Dateiinformationstabelle zu vergleichen, ist keine empfohlene Methode, um zu überprüfen, ob das Update installiert wurde. In bestimmten Fällen werden Dateien möglicherweise während der Installation umbenannt. Wenn Datei- oder Versionsinformationen nicht vorhanden sind, wählen Sie eine andere Methode, um die Updateinstallation zu überprüfen.
- Überprüfung des Registrierungsschlüssels
Möglicherweise können Sie die Dateien, die von diesem Sicherheitsupdate installiert wurden, auch durch die Prüfung des Registrierungsschlüssels in der Referenztabelle in diesem Abschnitt überprüfen.
Diese Registrierungsschlüssel enthalten möglicherweise keine vollständige Liste der installierten Dateien. Zudem werden die Registrierungsschlüssel möglicherweise nicht einwandfrei erstellt, wenn ein Administrator oder OEM dieses Sicherheitsupdate in die Windows-Installationsquelldateien integriert oder einbindet.
Windows Vista (alle Editionen)
Referenztabelle
Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.
| Aufnahme in zukünftige Service Packs: | Das Update für dieses Problem wird in einem zukünftigen Service Pack oder Update-Rollup enthalten sein. |
| Bereitstellung: | |
| Installieren ohne Benutzereingriff | Für alle unterstützten 32-Bit-Editionen von Windows Vista: Windows6.0-KB960803-x86 /quiet Für alle unterstützten x64-basierten Editionen von Windows Vista: Windows6.0-KB960803-x64 /quiet |
| Installieren ohne neu zu starten | Für alle unterstützten 32-Bit-Editionen von Windows Vista: Windows6.0-KB960803-x86 /quiet /norestart Für alle unterstützten x64-basierten Editionen von Windows Vista: Windows6.0-KB960803-x64 /quiet /norestart |
| Weitere Informationen | Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung |
| Neustartanforderung: | |
| Neustart erforderlich? | Ja, Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben. |
| HotPatching | Nicht relevant. |
| Informationen zur Deinstallation: | WUSA.exe unterstützt nicht die Deinstallation von Updates. Um ein Update zu deinstallieren, das von WUSA installiert wurde, klicken Sie auf Systemsteuerung und dann auf Sicherheit. Klicken Sie unter Windows Update auf Installierte Updates anzeigen, und treffen Sie eine Auswahl in der Liste der Updates. |
| Dateiinformationen: | Siehe Microsoft Knowledge Base-Artikel 960803. |
| Überprüfung des Registrierungsschlüssels | Hinweis Es ist kein Registrierungsschlüssel vorhanden, um die Anwesenheit dieses Updates zu belegen. |
Informationen zur Bereitstellung
Installieren des Updates
Wenn Sie dieses Sicherheitsupdate installieren, prüft der Installer, ob Dateien, die auf dem Computer aktualisiert werden, zuvor durch einen Microsoft-Hotfix aktualisiert wurden.
Weitere Informationen zu der in diesem Bulletin verwendeten Terminologie, wie z. B. Hotfix, finden Sie im Microsoft Knowledge Base-Artikel 824684.
Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.
| Option | Beschreibung |
|---|---|
| /?, /h, /help | Hilfe zu unterstützten Optionen wird angezeigt. |
| /quiet | Anzeige von Status- oder Fehlermeldungen wird unterdrückt. |
| /norestart | Bei einer gemeinsamen Verwendung mit /quiet wird das System nach der Installation auch dann nicht neu gestartet, wenn ein Neustart erforderlich ist, um die Installation abzuschließen. |
Hinweis Weitere Informationen zum Installationsprogramm wusa.exe finden Sie im Microsoft Knowledge Base-Artikel 934307.
Überprüfen der Updateinstallation
- Microsoft Baseline Security Analyzer
Um zu überprüfen, ob das Sicherheitsupdate auf einem betroffenen System installiert wurde, können Sie möglicherweise das Tool MBSA (Microsoft Baseline Security Analyzer) verwenden. Weitere Informationen finden Sie im Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung in diesem Bulletin.
- Überprüfung der Dateiversion
Da mehrere Editionen von Microsoft Windows verfügbar sind, können die auf Ihrem Computer erforderlichen Schritte von den angegebenen Schritten abweichen. Lesen Sie in diesem Fall die Produktdokumentation, um die erforderlichen Schritte durchzuführen.
- Klicken Sie auf Start, und tragen Sie unter Suche starten den Namen einer Updatedatei ein.
- Wenn die Datei unter Programme angezeigt wird, klicken Sie mit der rechten Maustaste auf den Dateinamen, und klicken Sie dann auf Eigenschaften.
- Vergleichen Sie in der Registerkarte Allgemein die Dateigröße mit den im Knowledge Base-Artikel des Bulletins bereitgestellten Dateiinformationstabellen.
- Sie können auch auf die Registerkarte Detail klicken und die Informationen, z. B. zur Dateiversion und zum Änderungsdatum, mit den vorher im Knowledge Base-Artikel des Bulletins bereitgestellten Dateiinformationstabellen vergleichen.
- Außerdem können Sie auch auf die Registerkarte Vorherige Versionen klicken und die Dateiinformationen zur vorherigen Dateiversion mit den Dateiinformationen für die neue, bzw. aktualisierte, Dateiversion vergleichen.
Windows Server 2008 (alle Editionen)
Referenztabelle
Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.
| Aufnahme in zukünftige Service Packs: | Das Update für dieses Problem wird in einem zukünftigen Service Pack oder Update-Rollup enthalten sein. |
| Bereitstellung: | |
| Installieren ohne Benutzereingriff | Für alle unterstützten 32-Bit-Editionen von Windows Server 2008: Windows6.0-KB960803-x86 /quiet Für alle unterstützten x64-basierten Editionen von Windows Server 2008: Windows6.0-KB960803-x64 /quiet Für alle unterstützten Itanium-basierten Editionen von Windows Server 2008: Windows6.0-KB960803-ia64 /quiet |
| Installieren ohne neu zu starten | Für alle unterstützten 32-Bit-Editionen von Windows Server 2008: Windows6.0-KB960803-x86 /quiet /norestart Für alle unterstützten x64-basierten Editionen von Windows Server 2008: Windows6.0-KB960803-x64 /quiet /norestart Für alle unterstützten Itanium-basierten Editionen von Windows Server 2008: Windows6.0-KB960803-ia64 /quiet /norestart |
| Weitere Informationen | Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung |
| Neustartanforderung: | |
| Neustart erforderlich? | Ja, Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben. |
| HotPatching | Nicht relevant. |
| Informationen zur Deinstallation: | WUSA.exe unterstützt nicht die Deinstallation von Updates. Um ein Update zu deinstallieren, das von WUSA installiert wurde, klicken Sie auf Systemsteuerung und dann auf Sicherheit. Klicken Sie unter Windows Update auf Installierte Updates anzeigen, und treffen Sie eine Auswahl in der Liste der Updates. |
| Dateiinformationen: | Siehe Microsoft Knowledge Base-Artikel 960803. |
| Überprüfung des Registrierungsschlüssels | Hinweis Es ist kein Registrierungsschlüssel vorhanden, um die Anwesenheit dieses Updates zu belegen. |
Informationen zur Bereitstellung
Installieren des Updates
Wenn Sie dieses Sicherheitsupdate installieren, prüft der Installer, ob Dateien, die auf dem Computer aktualisiert werden, zuvor durch einen Microsoft-Hotfix aktualisiert wurden.
Weitere Informationen zu der in diesem Bulletin verwendeten Terminologie, wie z. B. Hotfix, finden Sie im Microsoft Knowledge Base-Artikel 824684.
Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.
| Option | Beschreibung |
|---|---|
| /?, /h, /help | Hilfe zu unterstützten Optionen wird angezeigt. |
| /quiet | Anzeige von Status- oder Fehlermeldungen wird unterdrückt. |
| /norestart | Bei einer gemeinsamen Verwendung mit /quiet wird das System nach der Installation auch dann nicht neu gestartet, wenn ein Neustart erforderlich ist, um die Installation abzuschließen. |
Hinweis Weitere Informationen zum Installationsprogramm wusa.exe finden Sie im Microsoft Knowledge Base-Artikel 934307.
Überprüfen der Updateinstallation
- Microsoft Baseline Security Analyzer
Um zu überprüfen, ob das Sicherheitsupdate auf einem betroffenen System installiert wurde, können Sie möglicherweise das Tool MBSA (Microsoft Baseline Security Analyzer) verwenden. Weitere Informationen finden Sie im Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung in diesem Bulletin.
- Überprüfung der Dateiversion
Da mehrere Editionen von Microsoft Windows verfügbar sind, können die auf Ihrem Computer erforderlichen Schritte von den angegebenen Schritten abweichen. Lesen Sie in diesem Fall die Produktdokumentation, um die erforderlichen Schritte durchzuführen.
- Klicken Sie auf Start, und tragen Sie unter Suche starten den Namen einer Updatedatei ein.
- Wenn die Datei unter Programme angezeigt wird, klicken Sie mit der rechten Maustaste auf den Dateinamen, und klicken Sie dann auf Eigenschaften.
- Vergleichen Sie in der Registerkarte Allgemein die Dateigröße mit den im Knowledge Base-Artikel des Bulletins bereitgestellten Dateiinformationstabellen.
- Sie können auch auf die Registerkarte Detail klicken und die Informationen, z. B. zur Dateiversion und zum Änderungsdatum, mit den vorher im Knowledge Base-Artikel des Bulletins bereitgestellten Dateiinformationstabellen vergleichen.
- Außerdem können Sie auch auf die Registerkarte Vorherige Versionen klicken und die Dateiinformationen zur vorherigen Dateiversion mit den Dateiinformationen für die neue, bzw. aktualisierte, Dateiversion vergleichen.
Weitere Informationen:
Danksagungen
Microsoft dankt den folgenden Personen, dass sie zum Schutz unserer Kunden mit uns zusammengearbeitet haben:
- Greg MacManus von iSIGHT Partners Labs für den Hinweis auf die Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Ganzzahlunterlauf (CVE-2009-0086)
- WanTeh Chang und Cem Paya von Google für den Hinweis auf die Sicherheitsanfälligkeit in den Windows HTTP-Diensten durch Zertifikatsnamenkonflikt (CVE-2009-0089)
Microsoft Active Protections Program (MAPP)
Um den Sicherheitsschutz für Benutzer zu verbessern, stellt Microsoft den wichtigsten Sicherheitssoftwareanbietern vor der monatlichen Veröffentlichung der Sicherheitsupdates Informationen zu Sicherheitsanfälligkeiten bereit. Anbieter von Sicherheitssoftware können diese Informationen zu Sicherheitsanfälligkeiten dann verwenden, um Benutzern aktualisierten Schutz über ihre Sicherheitssoftware oder ihre Geräte bereitzustellen, z. B. Antivirus, netzwerkbasierte Angriffserkennungssysteme oder hostbasierte Angriffsverhinderungssysteme. Wenn Sie erfahren möchten, ob von den Sicherheitssoftwareanbietern aktiver Schutz verfügbar ist, besuchen Sie die von den Programmpartnern bereitgestellte Active Protections-Websites, die unter MAPP-Partner (Microsoft Active Protections Program) aufgeführt sind.
Support
- Technischer Support ist über den Security Support erhältlich. Supportanrufe zu Sicherheitsupdates sind kostenlos. Weitere Informationen zu verfügbaren Supportoptionen finden Sie auf der Microsoft-Website „Hilfe und Support“.
- Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Supportanfragen zu Sicherheitsupdates sind kostenlos. Weitere Informationen dazu, wie Sie Microsoft in Bezug auf Supportfragen kontaktieren können, finden Sie auf der International Support-Website.
Haftungsausschluss
Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.
Revisionen
- V1.0 (14. April 2009): Bulletin veröffentlicht.
- V1.1 (29. April 2009): Dem Abschnitt Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate wurde ein Eintrag hinzugefügt, um mitzuteilen, dass der Abschnitt Bekannte Probleme mit diesem Sicherheitsupdate im zugehörigen Microsoft Knowledge Base-Artikel 960803 aktualisiert wurde. Dies ist lediglich eine Informationsänderung.