Microsoft Security Bulletin MS10-014 - Hoch

Sicherheitsanfälligkeit in Kerberos kann zu einem Denial-of-Service-Angriff führen (977290)

Veröffentlicht: Dienstag, 9. Februar 2010

Version: 1.0

Allgemeine Informationen

Kurzzusammenfassung

Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Denial-of-Service ermöglichen, wenn eine speziell gestaltete Ticketerneuerungsanforderung von einem authentifizierten Benutzer in einem vertrauenswürdigen Nicht-Windows-Kerberos-Bereich an die Windows-Kerberos-Domäne gesendet wird. Der Denial-of-Service kann bestehen bleiben, bis der Domänencontroller neu gestartet wird.

Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Microsoft Windows 2000 Server, Windows Server 2003 und Windows Server 2008 als Hoch eingestuft. Weitere Informationen finden Sie im Unterabschnitt Betroffene und nicht betroffene Software in diesem Abschnitt.

Dieses Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der Kerberos-Server sich mit Ticketerneuerungsanforderungen befasst. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ für den bestimmten Sicherheitsanfälligkeitseintrag unter dem nächsten Abschnitt Informationen zu Sicherheitsanfälligkeiten.

Empfehlung. Die Mehrheit der Benutzer hat die automatische Aktualisierung aktiviert und muss keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871.

Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, das Update so schnell wie möglich mit Updateverwaltungssoftware zu installieren bzw. mithilfe des Diensts Microsoft Update auf Updates zu prüfen.

Siehe auch den Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung weiter unten in diesem Bulletin.

Bekannte Probleme. Keine

Betroffene und nicht betroffene Software

Folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen haben entweder das Ende des Lebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder Edition zu ermitteln.

Betroffene Software

Betriebssystem	Maximale Sicherheitsauswirkung	Bewertung des Gesamtschweregrads	Bulletins, die durch dieses Update ersetzt werden
Microsoft Windows 2000 Server Service Pack 4	DoS (Denial of Service)	Hoch	Keine
Windows Server 2003 Service Pack 2	DoS (Denial of Service)	Hoch	Keine
Windows Server 2003 x64 Edition Service Pack 2	DoS (Denial of Service)	Hoch	Keine
Windows Server 2003 mit SP2 für Itanium-basierte Systeme	DoS (Denial of Service)	Hoch	Keine
Windows Server 2008 für 32-Bit-Systeme und Windows Server 2008 für 32-Bit-Systeme Service Pack 2*	DoS (Denial of Service)	Hoch	Keine
Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für x64-basierte Systeme Service Pack 2*	DoS (Denial of Service)	Hoch	Keine

*Die Server Core-Installation ist betroffen. Dieses Update gilt, mit der gleichen Bewertung des Schweregrads, wie angezeigt auch für unterstützte Editionen von Windows Server 2008 oder Windows Server 2008 R2, unabhängig davon, ob bei der Installation die Server Core-Installationsoption verwendet wurde oder nicht. Weitere Informationen zu dieser Installationsoption finden Sie in den MSDN-Artikeln Server Core und Server Core für Windows Server 2008 R2. Beachten Sie, dass die Server Core-Installationsoption für bestimmte Editionen von Windows Server 2008 und Windows Server 2008 R2 nicht gilt; siehe dazu Vergleichen von Server Core-Installationsoptionen.

Nicht betroffene Software

Betriebssystem
Microsoft Windows 2000 Professional Service Pack 4
Windows XP Service Pack 2 und Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Vista, Windows Vista Service Pack 1 und Windows Vista Service Pack 2
Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1 und Windows Vista x64 Edition Service Pack 2
Windows Server 2008 für Itanium-basierte Systeme und Windows Server 2008 für Itanium-basierte Systeme Service Pack 2
Windows 7 für 32-Bit-Systeme
Windows 7 für x64-basierte Systeme
Windows Server 2008 R2 für x64-basierte Systeme
Windows Server 2008 R2 für Itanium-basierte Systeme

Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate

Wo befinden sich die Dateiinformationen?
Informationen zum Speicherort der Dateiinformationen finden Sie in den Referenztabellen im Abschnitt Bereitstellung von Sicherheitsupdates.

Ich führe eine der Plattformen aus, die in der Tabelle der betroffenen Software aufgeführt sind. Warum wird mir dieses Sicherheitsupdate nicht angeboten?
Das Update wird nur Systemen angeboten, auf denen die betroffene Komponente sowohl installiert als auch aktiviert ist. Systeme, die nicht in der Rolle eines Domänencontrollers konfiguriert sind, enthalten die gefährdete Komponente, sind aber nicht betroffen und ihnen wird dieses Update nicht durch die automatischen Updates angeboten.

Ich verwende eine ältere Version der in diesem Security Bulletin beschriebenen Software. Was soll ich tun?
Die in diesem Bulletin aufgeführte betroffene Software wurde daraufhin getestet, welche einzelnen Versionen betroffen sind. Andere Versionen haben das Ende ihrer Supportlebenszyklen erreicht. Weitere Informationen zu den Produktzyklen finden Sie auf der Website Microsoft Support Lifecycle.

Benutzer älterer Versionen dieser Software sollten möglichst bald zu Versionen migrieren, für die Support angeboten wird, um sich vor künftigen Sicherheitsanfälligkeiten zu schützen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion finden Sie unter Produkt für Lebenszyklusinformationen auswählen. Weitere Informationen zu Service Packs für diese Softwareversionen finden Sie unter Lifecycle Supported Service Packs.

Benutzer, die zusätzlichen Support für ältere Software benötigen, müssen sich an ihren Microsoft-Kundenbetreuer, ihren Technical Account Manager oder den jeweiligen Microsoft-Partner wenden, um Supportangebote in Anspruch nehmen zu können. Kunden, die nicht über einen Alliance-, Premier- oder Authorized-Vertrag verfügen, können sich mit der regionalen Microsoft-Vertriebsniederlassung in Verbindung setzen. Kontaktinformationen finden Sie auf der Website Microsoft Worldwide. Wählen Sie in der Liste „Kontaktinformationen“ Ihr Land aus, und klicken Sie auf Go. Es wird eine Telefonnummer für Ihr Land angezeigt. Wenn Sie unter der angegebenen Nummer anrufen, fragen Sie bitte nach dem regionalen Vertriebsmanager für Premier Support. Weitere Informationen finden Sie auf der Seite Microsoft Support Lifecycle-Richtlinie – Häufig gestellte Fragen (FAQ).

Informationen zu Sicherheitsanfälligkeiten

Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeit

Bewertung des Schweregrads und maximale Sicherheitsauswirkung nach betroffener Software
Betroffene Software	Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035	Bewertung des Gesamtschweregrads
Microsoft Windows 2000 Server Service Pack 4	Hoch DoS (Denial of Service)	Hoch
Windows Server 2003 Service Pack 2	Hoch DoS (Denial of Service)	Hoch
Windows Server 2003 x64 Edition Service Pack 2	Hoch DoS (Denial of Service)	Hoch
Windows Server 2003 mit SP2 für Itanium-basierte Systeme	Hoch DoS (Denial of Service)	Hoch
Windows Server 2008 für 32-Bit-Systeme und Windows Server 2008 für 32-Bit-Systeme Service Pack 2*	Hoch DoS (Denial of Service)	Hoch
Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für x64-basierte Systeme Service Pack 2*	Hoch DoS (Denial of Service)	Hoch

Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035

In Implementierungen von Kerberos liegt eine Sicherheitsanfälligkeit bezüglich Denial-of-Service vor. Die Sicherheitsanfälligkeit wird durch fehlerhafte Verarbeitung von Ticket-Granting-Ticket-Erneuerungsanforderungen von einem Client in einem entfernten, Nicht-Windows-Bereich in einer Kerberos-Implementierung mit gemischtem Modus verursacht. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, könnte bewirken, dass der betroffene Windows-Domänencontroller nicht mehr reagiert.

Informationen zum Anzeigen dieser Sicherheitsanfälligkeit als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2010-0035.

Schadensbegrenzende Faktoren für die Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035

Problemumgehungen für die Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035

Häufig gestellte Fragen (FAQs) zur Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035

Worin genau besteht diese Sicherheitsanfälligkeit?
Es handelt sich bei dieser Sicherheitsanfälligkeit um einen Denial-of-Service-Angriff. Ein authentifizierter Remoteangreifer kann eine speziell gestaltete Erneuerungsanforderung für ein vorhandenes Ticket-Granting-Ticket (TGT) senden, woraufhin das betroffene System nicht mehr reagiert, was zu einem Denial-of-Service führt. Der Denial-of-Service kann bestehen bleiben, bis der Domänencontroller neu gestartet wird.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Diese Sicherheitsanfälligkeit wird durch falsche Verarbeitung von Ticketerneuerungsanforderungen verursacht, die aus einer Nicht-Windows-Kerberos-Domäne stammen.

Was ist Kerberos?
Kerberos ist ein Protokoll, mit dem Benutzer und Dienste sich in einem offenen und ungesicherten Netzwerk gegenseitig authentifizieren. Es ermöglicht Diensten, den Benutzer eines Kerberos-Tickets ordnungsgemäß zu identifizieren, ohne den Benutzer beim Dienst authentifizieren zu müssen. Dies geschieht mithilfe des gemeinsamen geheimen Schlüssels.

Das Kerberos-Protokoll verwendet gemeinsam genutzte geheime Schlüssel zum Verschlüsseln und Signieren der Anmeldeinformationen von Benutzern. Ein Client wird von einem Kerberos-Schlüsselverteilungscenter (Key Distribution Center, KDC) authentifiziert. Nach dieser Authentifizierung kann der Benutzer ein Dienstticket anfordern, um auf einen bestimmten Dienst im Netzwerk zuzugreifen. Dieses Ticket enthält die verschlüsselte authentifizierte Identität des Benutzers.

Was ist ein Ticket-Granting-Ticket oder TGT?
In Kerberos wird einem Client durch den KDC ein vorläufiger Schlüssel zugewiesen. Dieser vorläufige Schlüssel gilt nur für eine bestimmte Anmeldesitzung. Wenn ein Benutzer sich anmeldet, fordert der Client ein Ticket für den KDC an, genauso wie er ein Ticket für einen beliebigen anderen Dienst anfordern würde. Der KDC antwortet durch Erstellen eines Anmeldesitzungsschlüssels und eines Tickets für einen besonderen Server, dem vollständigen Ticket-Granting-Dienst des KDC. Eine Kopie des Anmeldesitzungsschlüssel ist im Ticket eingebettet, und das Ticket ist mit dem Hauptschlüssel des KDC verschlüsselt. Eine weitere Kopie des Anmeldesitzungsschlüssels ist mit dem Hauptschlüssel des Benutzers verschlüsselt, der vom Anmeldekennwort des Benutzers abgeleitet wird. Sowohl das Ticket als auch der verschlüsselte Sitzungsschlüssel werden an den Client gesendet.

Wenn der Client die Antwort vom KDC erhält, entschlüsselt er den Anmeldesitzungsschlüssel mit dem Hauptschlüssel des Benutzers, der vom Benutzerkennwort abgeleitet wird. Der Client braucht den vom Kennwort des Benutzers abgeleiteten Schlüssel nicht mehr, weil der Client jetzt den Anmeldesitzungsschlüssel verwendet, um seine Kopie jedes Serversitzungsschlüssels zu entschlüsseln, die er vom KDC erhält. Der Client speichert den Anmeldesitzungsschlüssel zusammen mit seinem Ticket für den vollständigen Ticket-Granting-Dienst des KDC in seinem Ticketcache. Das Ticket für den vollständigen Ticket-Granting-Dienst wird Ticket-Granting-Ticket (TGT) genannt.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Ein Angreifer, der diese Sicherheitsanfälligkeit ausnutzt, könnte bewirken, dass das betroffene System nicht mehr reagiert. Der Administrator muss das System manuell neu starten, um die Funktionalität wiederherzustellen. Selbst wenn ein Domänencontroller gar nicht mehr verfügbar wäre, könnten Benutzer, die bereits über Kerberos-Tickets verfügen, nicht daran gehindert werden, diese zu nutzen. Sie könnten weiterhin auf alle Ressourcen zugreifen, für die ihnen bereits Tickets ausgestellt wurden. Der Denial-of-Service jedoch würde verhindern, dass der Domänencontroller neue Tickets ausgibt, um Zugriff auf andere Ressourcen zu ermöglichen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?
Ein Angreifer, der in einem Nicht-Windows-Kerberos-Bereich authentifiziert wird, der von der Windows-Kerberos-Domäne als vertrauenswürdig eingestuft wurde, kann diese Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Ticketerneuerungsanforderung an seinen Kerberos-KDC sendet.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Domänencontroller, auf denen ein Kerberos-Bereich im gemischten Modus definiert ist, sind von dieser Sicherheitsanfälligkeit betroffen. Kerberos-Bereiche im gemischten Modus sind Bereitstellungen, in denen der Windows-Kerberos-Bereich eine Drittanbieter-Implementierung von Nicht-Microsoft-Kerberos als vertrauenswürdig einstuft.

Was bewirkt das Update?
Dieses Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der Kerberos-Server sich mit Ticketerneuerungsanforderungen befasst.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Benutzer ausgenutzt wurde.

Informationen zum Update

Tools und Anleitungen zur Erkennung und Bereitstellung

Verwalten Sie die Software und die Sicherheitsupdates, die Sie den Servern, Desktops und mobilen Computern in Ihrer Organisation bereitstellen müssen. Weitere Informationen finden Sie im TechNet Update Management Center. Die Website TechNet Sicherheit bietet weitere Informationen zur Sicherheit von Microsoft-Produkten.

Sicherheitsupdates sind unter Microsoft Update und Windows-Update verfügbar. Sicherheitsupdates sind auch im Microsoft Download Center verfügbar. und können am einfachsten durch eine Suche nach dem Begriff „Sicherheitsupdate“ ermittelt werden.

Außerdem können Sicherheitsupdates vom Windows Update-Katalog heruntergeladen werden. Der Microsoft Update-Katalog stellt einen durchsuchbaren Katalog der Inhalte bereit, die über Windows Update und Microsoft Update zur Verfügung gestellt werden, einschließlich Sicherheitsupdates, Treiber und Service Packs. Indem Sie mit der Nummer des Security Bulletins suchen (z. B. „MS07-036“), können Sie Ihrem Warenkorb alle anwendbaren Updates (einschließlich verschiedener Sprachen für ein Update) hinzufügen und in den Ordner Ihrer Wahl herunterladen. Weitere Informationen zum Microsoft Update-Katalog, finden Sie unter Häufig gestellte Fragen zum Microsoft Update-Katalog.

Hinweis: Am 1. August 2009 hat Microsoft den Support für Office Update und das Inventurprogramm für Office-Update eingestellt. Verwenden Sie Microsoft Update, um weiterhin die aktuellen Updates für Microsoft Office-Produkte zu erhalten. Weitere Informationen finden Sie in Informationen zum Microsoft Office Update: Häufig gestellte Fragen (FAQs).

Anleitungen zur Erkennung und Bereitstellung

Microsoft stellt Anleitungen zur Erkennung und Bereitstellung von Sicherheitsupdates bereit. Diese Anleitungen enthalten Empfehlungen und Informationen, anhand derer IT-Experten verstehen können, wie die verschiedenen Tools für die Erkennung und Bereitstellung der Sicherheitsupdates verwendet werden. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 961747.

Microsoft Baseline Security Analyzer

Der Microsoft Baseline Security Analyzer (MBSA) ermöglicht Administratoren die Überprüfung von lokalen und Remotesystemen im Hinblick auf fehlende Sicherheitsupdates sowie auf häufig falsch konfigurierte Sicherheitsparameter. Weitere Informationen zu MBSA finden Sie auf der Website Microsoft Baseline Security Analyzer.

In der folgenden Tabelle ist die Zusammenfassung zur MBSA-Erkennung für dieses Sicherheitsupdate enthalten.

Software	MBSA 2.1.1
Microsoft Windows 2000 Server Service Pack 4	Ja
Windows Server 2003 Service Pack 2	Ja
Windows Server 2003 x64 Edition Service Pack 2	Ja
Windows Server 2003 mit SP2 für Itanium-basierte Systeme	Ja
Windows Server 2008 für 32-Bit-Systeme und Windows Server 2008 für 32-Bit-Systeme Service Pack 2	Ja
Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für x64-basierte Systeme Service Pack 2	Ja

Die aktuelle Version von MBSA wurde veröffentlicht: Microsoft Baseline Security Analyzer 2.1.1. Weitere Informationen finden Sie unter Microsoft Baseline Security Analyzer 2.1.

Windows Server Update Services

Mithilfe der Windows Server Update Services (WSUS) können Administratoren die neuesten kritischen Updates und Sicherheitsupdates für Microsoft Windows 2000 und neuere Betriebssysteme, für Office XP und höher, für Exchange Server 2003 und für SQL Server 2000 bereitstellen. Weitere Informationen zum Bereitstellen dieses Sicherheitsupdates mithilfe der Windows Server Update Services finden Sie auf der Windows Server Update Services-Website.

Systems Management Server

Die folgende Tabelle enthält eine Zusammenfassung zur SMS-Erkennung und -Bereitstellung für dieses Sicherheitsupdate.

Software	SMS 2.0	SMS 2003 mit SUIT	SMS 2003 mit ITMU	Configuration Manager 2007
Microsoft Windows 2000 Server Service Pack 4	Ja	Ja	Ja	Ja
Windows Server 2003 Service Pack 2	Ja	Ja	Ja	Ja
Windows Server 2003 x64 Edition Service Pack 2	Nein	Nein	Ja	Ja
Windows Server 2003 mit SP2 für Itanium-basierte Systeme	Nein	Nein	Ja	Ja
Windows Server 2008 für 32-Bit-Systeme und Windows Server 2008 für 32-Bit-Systeme Service Pack 2	Nein	Nein	Ja	Ja
Windows Server 2008 für x64-basierte Systeme und Windows Server 2008 für x64-basierte Systeme Service Pack 2	Nein	Nein	Ja	Ja

Für SMS 2.0 und SMS 2003 kann das Sicherheitsupdate-Inventurprogramm (SUIT) von SMS verwendet werden, um Sicherheitsupdates zu erkennen. Siehe auch Downloads für Systems Management Server 2.0.

Im Fall von SMS 2003 kann von SMS zum Auffinden von unter Microsoft Updates erhältlichen Sicherheitsupdates und Updates, die von Windows Server Update Services unterstützt werden, das SMS 2003-Inventurprogramm für Microsoft-Updates (ITMU) verwendet werden. Weitere Informationen zum SMS 2003-Inventurprogramm für Microsoft-Updates finden Sie auf der Website SMS 2003-Inventurprogramm für Microsoft Updates. Weitere Informationen zu den SMS-Scanning Tools finden Sie unter SMS 2003 Software Update Scanning Tools. Siehe auch Downloads für Systems Management Server 2003.

System Center Configuration Manager 2007 verwendet WSUS 3.0 für die Erkennung von Updates. Weitere Informationen zur Configuration Manager 2007-Softwareupdateverwaltung finden Sie auf der Website zu System Center Configuration Manager 2007.

Weitere Informationen zu SMS finden Sie auf der SMS-Website.

Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 910723: Zusammenfassungsliste der monatlichen Anleitungen zur Erkennung und Bereitstellung.

Updatekompatibilitätsbewertung und Microsoft Application Compatibility Toolkit

Updates bearbeiten oft dieselben Dateien und Registrierungseinstellungen, die zum Ausführen Ihrer Anwendungen benötigt werden. Dies kann eine Inkompatibilität auslösen und die Bereitstellung von Sicherheitsupdates verzögern. Mit den Komponenten zur Updatekompatibilitätsbewertung, die im Anwendungskompatibilitäts-Toolkit enthalten sind, können Sie die Vereinbarkeit von Windows-Updates mit installierten Anwendungen testen und überprüfen.

Das Microsoft Application Compatibility Toolkit (ACT) enthält alle notwendigen Tools und Dokumentationen, um die Anwendungskompatibilität zu prüfen und eventuelle Probleme zu beheben, bevor Microsoft Windows Vista, ein Windows-Update, ein Microsoft-Sicherheitsupdate oder eine neue Version von Windows Internet Explorer in Ihrer Umgebung bereitgestellt wird.

Bereitstellung von Sicherheitsupdates


Aufnahme in zukünftige Service Packs:	Das Update für dieses Problem wird möglicherweise in zukünftigen Update-Rollups enthalten sein.
Bereitstellung:
Installieren ohne Benutzereingriff	Windows2000-KB977290-x86-ENU /quiet
Installieren ohne neu zu starten	Windows2000-KB977290-x86-ENU /norestart
Protokolldatei aktualisieren	kb977290.log
Weitere Informationen	Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung
Neustartanforderung:
Neustart erforderlich?	Ja, Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben
HotPatching	Nicht anwendbar
Informationen zur Deinstallation:	Verwenden Sie die Option Software in der Systemsteuerung oder das Dienstprogramm Spuninst.exe im Ordner %Windir%\$NTUninstallKB977290$\Spuninst.
Dateiinformationen:	Siehe Microsoft Knowledge Base-Artikel 977290.
Überprüfung des Registrierungsschlüssels	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB977290\Filelist

Unterstützte Installationsoptionen für das Sicherheitsupdate
Option	Beschreibung
/help	Zeigt die Befehlszeilenoptionen an.
Installationsmodi
/passive	Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird.
/quiet	Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt.
Neustartoptionen
/norestart	Kein Neustart nach Abschluss der Installation.
/forcerestart	Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern.
/warnrestart[:x]	Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden.
/promptrestart	Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird.
Besondere Optionen
/overwriteoem	Überschreibt OEM-Dateien ohne Bestätigung.
/nobackup	Erstellt keine Sicherungskopien der Dateien für die Deinstallation.
/forceappsclose	Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers.
/log:Pfad	Speichert die Installationsprotokolldateien im angegebenen Pfad.
/extract[:Pfad]	Extrahiert Dateien, ohne das Setup-Programm zu starten.
/ER	Aktiviert erweiterte Fehlerberichterstattung.
/verbose	Aktiviert eine ausführliche Protokollierung. Erstellt während der Installation die Datei %Windir%\CabBuild.log. In diesem Protokoll werden die kopierten Dateien aufgeführt. Die Verwendung dieser Option kann den Installationsvorgang entscheidend verlangsamen.

Unterstützte Installationsoptionen für Spuninst.exe
Option	Beschreibung
/help	Zeigt die Befehlszeilenoptionen an.
Installationsmodi
/passive	Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird.
/quiet	Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt.
Neustartoptionen
/norestart	Kein Neustart nach Abschluss der Installation.
/forcerestart	Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern.
/warnrestart[:x]	Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden.
/promptrestart	Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird.
Besondere Optionen
/forceappsclose	Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers.
/log:Pfad	Speichert die Installationsprotokolldateien im angegebenen Pfad.


Aufnahme in zukünftige Service Packs:	Das Update für dieses Problem wird in einem zukünftigen Service Pack oder Update-Rollup enthalten sein.
Bereitstellung:
Installieren ohne Benutzereingriff	Für alle unterstützten 32-Bit-Editionen von Windows Server 2003: WindowsServer2003-KB977290-x86-ENU /quiet
	Für alle unterstützten x64-basierten Editionen von Windows Server 2003: WindowsServer2003.WindowsXP-KB977290-x64-ENU /quiet
	Für alle unterstützten Itanium-basierten Editionen von Windows Server 2003: WindowsServer2003-KB977290-ia64-ENU /quiet
Installieren ohne neu zu starten	Für alle unterstützten 32-Bit-Editionen von Windows Server 2003: WindowsServer2003-KB977290-x86-ENU /norestart
	Für alle unterstützten x64-basierten Editionen von Windows Server 2003: WindowsServer2003.WindowsXP-KB977290-x64-ENU /norestart
	Für alle unterstützten Itanium-basierten Editionen von Windows Server 2003: WindowsServer2003-KB977290-ia64-ENU /norestart
Protokolldatei aktualisieren	KB977290.log
Weitere Informationen	Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung
Neustartanforderung:
Neustart erforderlich?	Ja, Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben
HotPatching	Dieses Sicherheitsupdate unterstützt kein HotPatching. Weitere Informationen zum HotPatching finden Sie im Microsoft Knowledge Base-Artikel 897341.
Informationen zur Deinstallation:	Verwenden Sie die Option Software in der Systemsteuerung oder das Dienstprogramm Spuninst.exe im Ordner %Windir%\$NTUninstallKB977290$\Spuninst.
Dateiinformationen:	Siehe Microsoft Knowledge Base-Artikel 977290.
Überprüfung des Registrierungsschlüssels	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB977290\Filelist

Unterstützte Installationsoptionen für das Sicherheitsupdate
Option	Beschreibung
/help	Zeigt die Befehlszeilenoptionen an.
Installationsmodi
/passive	Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird.
/quiet	Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt.
Neustartoptionen
/norestart	Kein Neustart nach Abschluss der Installation.
/forcerestart	Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern.
/warnrestart[:x]	Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden.
/promptrestart	Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird.
Besondere Optionen
/overwriteoem	Überschreibt OEM-Dateien ohne Bestätigung.
/nobackup	Erstellt keine Sicherungskopien der Dateien für die Deinstallation.
/forceappsclose	Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers.
/log:Pfad	Speichert die Installationsprotokolldateien im angegebenen Pfad.
/integrate:Pfad	Integriert das Update in die Windows-Quelldateien. Diese Dateien befinden sich im Pfad, der in der Installationsoption angegeben ist.
/extract[:Pfad]	Extrahiert Dateien, ohne das Setup-Programm zu starten.
/ER	Aktiviert erweiterte Fehlerberichterstattung.
/verbose	Aktiviert eine ausführliche Protokollierung. Erstellt während der Installation die Datei %Windir%\CabBuild.log. In diesem Protokoll werden die kopierten Dateien aufgeführt. Die Verwendung dieser Option kann den Installationsvorgang entscheidend verlangsamen.

Unterstützte Installationsoptionen für Spuninst.exe
Option	Beschreibung
/help	Zeigt die Befehlszeilenoptionen an.
Installationsmodi
/passive	Modus für unbeaufsichtigte Installation. Es ist kein Benutzereingriff erforderlich, jedoch wird der Installationsstatus angezeigt. Sollte im Anschluss an die Installation ein Neustart erforderlich sein, wird der Benutzer in einem Dialogfeld darauf hingewiesen, dass der Computer in 30 Sekunden neu gestartet wird.
/quiet	Stiller Modus. Dies entspricht dem unbeaufsichtigten Modus, jedoch werden keine Status- oder Fehlermeldungen angezeigt.
Neustartoptionen
/norestart	Kein Neustart nach Abschluss der Installation.
/forcerestart	Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern.
/warnrestart[:x]	Zeigt ein Dialogfeld an, in dem der Benutzer gewarnt wird, dass der Computer in einer bestimmtenAnzahl von Sekunden neu gestartet wird. (Die Standardeinstellung lautet 30 Sekunden.) Sollte in Verbindung mit den Installationsoptionen /quiet oder /passive verwendet werden.
/promptrestart	Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird.
Besondere Optionen
/forceappsclose	Erzwingt das Schließen anderer Programme beim Herunterfahren des Computers.
/log:Pfad	Speichert die Installationsprotokolldateien im angegebenen Pfad.


Aufnahme in zukünftige Service Packs:	Das Update für dieses Problem wird in einem zukünftigen Service Pack oder Update-Rollup enthalten sein.
Bereitstellung:
Installieren ohne Benutzereingriff	Für alle unterstützten 32-Bit-Editionen von Windows Server 2008: Windows6.0-KB977290-x86 /quiet Für alle unterstützten x64-basierten Editionen von Windows Server 2008: Windows6.0-KB977290-x64 /quiet
Installieren ohne neu zu starten	Für alle unterstützten 32-Bit-Editionen von Windows Server 2008: Windows6.0-KB977290-x86 /quiet /norestart Für alle unterstützten x64-basierten Editionen von Windows Server 2008: Windows6.0-KB977290-x64 /quiet /norestart
Weitere Informationen	Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung
Neustartanforderung:
Neustart erforderlich?	Ja, Sie müssen das System neu starten, nachdem Sie dieses Sicherheitsupdate installiert haben.
HotPatching	Nicht anwendbar.
Informationen zur Deinstallation:	WUSA.exe unterstützt nicht die Deinstallation von Updates. Um ein Update zu deinstallieren, das von WUSA installiert wurde, klicken Sie auf Systemsteuerung und dann auf Sicherheit. Klicken Sie unter Windows Update auf Installierte Updates anzeigen, und treffen Sie eine Auswahl in der Liste der Updates.
Dateiinformationen:	Siehe Microsoft Knowledge Base-Artikel 977290.
Überprüfung des Registrierungsschlüssels	Hinweis Es ist kein Registrierungsschlüssel vorhanden, um die Anwesenheit dieses Updates zu belegen.

Unterstützte Installationsoptionen für das Sicherheitsupdate
Option	Beschreibung
/?, /h, /help	Hilfe zu unterstützten Optionen wird angezeigt.
/quiet	Anzeige von Status- oder Fehlermeldungen wird unterdrückt.
/norestart	Bei einer gemeinsamen Verwendung mit /quiet wird das System nach der Installation auch dann nicht neu gestartet, wenn ein Neustart erforderlich ist, um die Installation abzuschließen.

Weitere Informationen:

Microsoft Active Protections Program (MAPP)

Um den Sicherheitsschutz für Benutzer zu verbessern, stellt Microsoft den wichtigsten Sicherheitssoftwareanbietern vor der monatlichen Veröffentlichung der Sicherheitsupdates Informationen zu Sicherheitsanfälligkeiten bereit. Anbieter von Sicherheitssoftware können diese Informationen zu Sicherheitsanfälligkeiten dann verwenden, um Benutzern aktualisierten Schutz über ihre Sicherheitssoftware oder ihre Geräte bereitzustellen, z. B. Antivirus, netzwerkbasierte Angriffserkennungssysteme oder hostbasierte Angriffsverhinderungssysteme. Wenn Sie erfahren möchten, ob von den Sicherheitssoftwareanbietern aktiver Schutz verfügbar ist, besuchen Sie die von den Programmpartnern bereitgestellte Active Protections-Websites, die unter MAPP-Partner (Microsoft Active Protections Program) aufgeführt sind.

Support

Technischer Support ist über den Security Support erhältlich. Supportanrufe zu Sicherheitsupdates sind kostenlos. Weitere Informationen zu verfügbaren Supportoptionen finden Sie auf der Microsoft-Website „Hilfe und Support“.
Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Supportanfragen zu Sicherheitsupdates sind kostenlos. Weitere Informationen dazu, wie Sie Microsoft in Bezug auf Supportfragen kontaktieren können, finden Sie auf der International Support Website.

Haftungsausschluss

Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Revisionen

V1.0 (9. Februar 2010): Bulletin veröffentlicht.

Microsoft Security Bulletin MS10-014 - Hoch

Sicherheitsanfälligkeit in Kerberos kann zu einem Denial-of-Service-Angriff führen (977290)

Allgemeine Informationen

Kurzzusammenfassung

Betroffene und nicht betroffene Software

Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate

Informationen zu Sicherheitsanfälligkeiten

Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeit

Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035

Schadensbegrenzende Faktoren für die Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035

Problemumgehungen für die Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035

Häufig gestellte Fragen (FAQs) zur Sicherheitsanfälligkeit in Kerberos bezüglich Null-Zeigerdereferenzierung – CVE-2010-0035

Informationen zum Update

Tools und Anleitungen zur Erkennung und Bereitstellung

Bereitstellung von Sicherheitsupdates

Windows 2000 Server (alle Editionen)

Informationen zur Bereitstellung

Windows Server 2003 (alle Editionen)

Informationen zur Bereitstellung

Windows Server 2008 (alle Editionen)

Informationen zur Bereitstellung

Weitere Informationen:

Microsoft Active Protections Program (MAPP)

Support

Haftungsausschluss

Revisionen