Microsoft Security Bulletin MS10-042 - Kritisch

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
• Die Sicherheitsanfälligkeit kann nicht automatisch über E-Mail ausgenutzt werden. Ein Benutzer muss auf einen Link in einer E-Mail-Nachricht klicken, damit ein Angriff erfolgreich ist.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Endbenutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Aufheben der Registrierung des HCP-Protokolls

Hinweis: Siehe Microsoft Knowledge Base-Artikel 2229593, um diese Problemumgehung mithilfe der automatisierten Microsoft Fix it-Lösung zu aktivieren bzw. zu deaktivieren.

Hinweis: Eine fehlerhafte Verwendung des Registrierungs-Editors kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft kann nicht gewährleisten, dass Probleme, die sich aus der fehlerhaften Verwendung des Registrierungs-Editors ergeben, behoben werden können. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko. Weitere Informationen zum Bearbeiten der Registrierung finden Sie im Hilfethema Ändern von Schlüsseln und Werten im Registrierungs-Editor (Regedit.exe) oder in den Hilfethemen über das Hinzufügen und das Löschen von Informationen in der Registrierung und im Hilfethema Bearbeiten der Registrierungsdaten in Regedt32.exe.

Durch die Aufhebung der Registrierung des HCP-Protokolls wird verhindert, dass dieses Problem auf betroffenen Systemen ausgenutzt wird.

Verwenden der interaktiven Methode

1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl Regedit ein, und klicken Sie anschließend auf OK.
2. Suchen Sie den folgenden Registrierungsschlüssel, und klicken Sie darauf:
   
   HKEY_CLASSES_ROOT\HCP
3. Klicken Sie auf das Menü Datei und dann auf Exportieren.
4. Geben Sie in das Dialogfeld „Registrierungsdatei exportieren“ den Namen HCP_Procotol_Backup.reg ein, und klicken Sie auf Speichern.
   
   Hinweis Dadurch wird im Ordner „Eigene Dateien“ standardmäßig eine Sicherheitskopie dieses Registrierungsschlüssels erstellt.
5. Drücken Sie die Taste Entf auf der Tastatur, um den Registrierungsschlüssel zu löschen. Wenn Sie über das Dialogfeld „Löschen des Schlüssels bestätigen“ aufgefordert werden, den Registrierungsschlüssel zu löschen, klicken Sie auf Ja.

Verwenden eines verwalteten Bereitstellungsskripts

1. Erstellen Sie eine Sicherungskopie der Registrierungsschlüssel. Verwenden Sie hierzu ein verwaltetes Bereitstellungsskript, das folgende Befehle enthält:
   
   Regedit.exe /e HCP_Protocol_Backup.reg HKEY_CLASSES_ROOT\HCP
2. Speichern Sie anschließend Folgendes in einer Datei mit der Erweiterung .REG, z. B. Disable_HCP_Protocol.reg:
   
   Windows Registrierungs-Editor Version 5.00
   
   [-HKEY_CLASSES_ROOT\HCP]
3. Führen Sie mit dem folgenden Befehl das oben genannte Registrierungsskript an einer erhöhten Eingabeaufforderung auf dem Zielcomputer aus:
   
   Regedit.exe /s Disable_HCP_Protocol.reg

Auswirkung der Problemumgehung: Das Aufheben der Registrierung des HCP-Protokolls unterbricht alle lokalen, gültigen Hilfelinks, die hcp:// verwenden. Beispielsweise funktionieren Links in der Systemsteuerung möglicherweise nicht mehr.

So machen Sie die Problemumgehung rückgängig

Verwenden der interaktiven Methode

1. Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl Regedit ein, und klicken Sie anschließend auf OK.
2. Klicken Sie auf das Menü Datei und dann auf Importieren.
3. Klicken Sie im Dialogfeld „Registrierungsdatei importieren“ auf HCP_Procotol_Backup.reg und dann auf Öffnen.

Verwenden eines verwalteten Bereitstellungsskripts

• Stellen Sie mit dem folgenden Befehl den ursprünglichen Zustand wieder her:
  
  Regedit.exe /s HCP_Protocol_Backup.reg

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Das Windows Hilfe- und Supportcenter überprüft URLs bei der Verwendung des HCP-Protokolls nicht richtig.

Was ist das Hilfe- und Supportcenter?  
Das Hilfe- und Supportcenter (HSC) ist eine Komponente von Windows, die Unterstützung zu zahlreichen Themen bietet. Benutzer können sich z. B. mit HSC über bestimmte Windows-Funktionen informieren, Softwareupdates herunterladen und installieren, die Windows-Kompatibilität bestimmter Hardwaregeräte prüfen, Unterstützung durch Microsoft erhalten usw. Benutzer und Programme können über URL-Verknüpfungen zum Hilfe- und Supportcenter gelangen, indem sie in einer URL-Verknüpfung das Präfix „hcp://“ verwenden.

Was ist das HCP-Protokoll?  
Dieses Protokoll ähnelt dem HTTP-Protokoll, das zum Ausführen von URL-Verknüpfungen und zum Öffnen eines Webbrowsers verwendet wird. Das HCP-Protokoll kann zum Ausführen von URL-Verknüpfungen und zum Öffnen der Komponente Hilfe- und Supportcenter verwendet werden.

Sind Anwendungen von Drittanbietern direkt von diesem Problem betroffen?  
Nein. Allerdings kann dieses Problem unabhängig vom Webbrowsertyp mithilfe von Webtransaktionen ausgenutzt werden. In einem webbasierten Angriffsszenario müsste ein Angreifer eine Webseite hosten, die eine speziell gestaltete URI enthält. Jede Anwendung, die das HCP-Protokoll verarbeiten kann, kann als Angriff verwendet werden, um dieses Problem auszunutzen.

Weshalb wurde diese Sicherheitsanfälligkeit unter Windows Server 2003 mit niedrigem Schweregrad eingestuft?  
Die Sicherheitsanfälligkeit liegt in Windows Server 2003 vor, aber wir haben keine Methode gefunden, um die Sicherheitsanfälligkeit von einem Remotestandort aus auf Servern mit Windows Server 2003 auszuführen. Dennoch behebt dieses Update die Sicherheitsanfälligkeit für Windows Server 2003, um die beschriebene Bedrohung durch einen Remoteangriff zu beheben.

Was ist eine URI?  
Ein Uniform Resource Identifier (URI) ist eine Zeichenfolge, mit der Ressourcen im Internet oder über ein Netzwerk identifiziert werden bzw. auf diese eingewirkt wird. Eine URL ist ein typisches Beispiel für eine URI, die auf eine Ressource wie eine Website verweist. Weitere Informationen zu URIs finden Sie unter RFC 2396.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
Wenn ein Benutzer mit administrativen Benutzerberechtigungen angemeldet ist, könnte ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Ein Angreifer kann eine speziell gestaltete Website einrichten, die diese Sicherheitsanfälligkeit über einen Webbrowser ausnutzt, und dann einen Benutzer zum Besuch der Website verleiten. Dies kann auch beeinträchtigte Websites sowie Websites umfassen, die von Endbenutzern bereitgestellte Inhalte oder Anzeigen akzeptieren oder hosten. Diese Websites können speziell gestalteten Inhalt enthalten, mit dem diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Er muss den Benutzer zu einem Besuch dieser Website verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, in einer E-Mail oder einer Instant Messenger-Anfrage auf einen Link zur Website des Angreifers zu klicken. Es besteht ebenfalls die Möglichkeit, speziell gestalteten Webinhalt mithilfe von Bannerwerbungen anzuzeigen oder Webinhalt auf andere Weise an betroffene Systeme zu übermitteln.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
In erster Linie sind Windows XP-Systeme von dieser Sicherheitsanfälligkeit betroffen. Systeme mit Windows Server 2003 sind ebenfalls gefährdet, aber wir haben keine Möglichkeit finden können, dieses Problem von einem Remotestandort aus unter Windows Server 2003 auszunutzen.

Was bewirkt das Update?  
Dieses Update behebt diese Sicherheitsanfälligkeit, indem geändert wird, wie Daten überprüft werden, die an das Windows Hilfe- und Supportcenter übergeben werden.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Ja. Diese Sicherheitsanfälligkeit wurde veröffentlicht. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit CVE-2010-1885 zugewiesen. Die Sicherheitsanfälligkeit wurde erstmals in der Microsoft-Sicherheitsempfehlung 2219475 beschrieben.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Ja. Microsoft ist sich aktiver Angriffe bewusst, bei denen versucht wird, die Sicherheitsanfälligkeit auszunutzen. Auf Grundlage der analysierten Proben sind Windows Server 2003-Systeme derzeit nicht durch diese Angriffe gefährdet.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Hinweis Für unterstützte Versionen von Windows XP Professional x64 Edition ist dieses Sicherheitsupdate identisch mit unterstützten Versionen des Sicherheitsupdates für Windows Server 2003 x64 Edition.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.