Microsoft Security Bulletin MS10-043 - Kritisch

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

• Diese Sicherheitsanfälligkeit wirkt sich nur auf Windows-Systeme aus, auf denen das Windows Aero-Design installiert ist. Standardmäßig ist Windows Aero unter Windows Server 2008 R2 nicht aktiviert. Außerdem beinhaltet Windows Server 2008 R2 keine Windows Aero-fähigen Grafiktreiber. Um Windows Aero aktivieren zu können, müssen Sie Grafiktreiber von einem Drittanbieter oder vom Grafikadapterhersteller erwerben.
• In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

• Deaktivieren des Windows Aero-Designs

Durch das Deaktivieren des Windows Aero-Designs wird verhindert, dass dieses Problem auf betroffenen Systemen ausgenutzt wird.

Verwenden der interaktiven Methode

Um Windows Aero zu deaktivieren, indem Sie das Design ändern, führen Sie für jeden Benutzer eines Systems die folgenden Schritte durch:

1. Klicken Sie auf Start, wählen Sie die Systemsteuerung aus, und klicken Sie dann auf Darstellung und Anpassung.
2. Klicken Sie unter der Kategorie Anpassung auf Design ändern.
3. Führen Sie einen Bildlauf an das Ende der aufgeführten Designs durch, und wählen Sie eines der verfügbaren Basisdesigns und Designs mit hohem Kontrast aus.

Verwenden von Gruppenrichtlinien

Hinweis: Mithilfe des MMC-Snap-Ins für Gruppenrichtlinien können Richtlinien für einen Computer, eine Organisationseinheit oder eine gesamte Domäne festgelegt werden. Weitere Informationen zu Gruppenrichtlinien finden Sie auf den folgenden Websites:

Gruppenrichtliniensammlung

Was ist der Gruppenrichtlinienobjekt-Editor?

Wichtigste Gruppenrichtlinientools und -einstellungen

Führen Sie die folgenden Schritte durch, um Windows Aero durch den Wechsel zur Standardeinstellung mithilfe der Gruppenrichtlinie zu deaktivieren:

1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole, und konfigurieren Sie sie so, dass sie mit dem entsprechenden Gruppenrichtlinienobjekt (z. B. lokaler Computer, Organisationseinheit oder Domäne) funktioniert.
2. Navigieren Sie zum folgenden Knoten:
   
   Benutzerkonfiguration – Richtlinien – Administrative Vorlagen – Systemsteuerung – Anpassung
3. Doppelklicken Sie auf Bestimmten visuellen Stil oder „Windows - klassisch“ erzwingen.
4. Ändern Sie die Einstellung in Aktiviert und stellen Sie sicher, dass das Textfeld Pfad des visuellen Stils leer ist.
5. Klicken Sie auf Übernehmen und dann auf OK, um zur Gruppenrichtlinien-Verwaltungskonsole zurückzukehren.
6. Aktualisieren Sie die Gruppenrichtlinie auf allen Systemen, oder warten Sie auf das nächste geplante Gruppenrichtlinien-Aktualisierungsintervall, damit die Einstellungen wirksam werden.

Worin genau besteht diese Sicherheitsanfälligkeit?  
Diese Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?  
Der kanonische Anzeigetreiber von Windows analysiert Informationen nicht richtig, die vom Benutzermodus in den Kernelmodus kopiert werden.

Was ist der kanonische Anzeigetreiber (cdd.dll)?  
Der kanonische Anzeigetreiber (cdd.dll) wird von der Desktopgestaltung verwendet, um GDI- und DirectX-Zeichnung zu vermischen. Der CDD (Canonical Display Driver, kanonischer Anzeigetreiber) emuliert die Schnittstelle eines Windows XP-Anzeigetreibers, um mit der Win32k GDI-Grafikengine interagieren zu können.

Was ist GDI?  
Mit der Graphics Device Interface (GDI) von Microsoft Windows können Anwendungen Grafiken und formatierten Text bei der Videoanzeige und beim Drucken verwenden. Windows-basierte Anwendungen greifen nicht direkt auf die Grafikhardware zu. Stattdessen funktioniert GDI mit Gerätetreibern, die anstelle der Anwendungen agieren. Weitere Informationen zu GDI finden Sie in dem MSDN-Artikel Windows GDI.

Was ist Windows Aero?  
Windows Aero ist die Desktopdarstellung, die PCs zur Verfügung steht, auf denen ein kompatibler Grafikadapter verwendet wird und auf denen die Editionen Home Premium, Professional, Ultimate oder Enterprise von Windows 7 ausgeführt werden. Windows Aero kann unter Windows Server 2008 R2 installiert werden.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?  
In den meisten Szenarien kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, bewirken, dass das betroffene System nicht mehr reagiert und dann automatisch neu startet.

Theoretisch ist es auch möglich, aber aufgrund der zufälligen Speicheranordnung unwahrscheinlich, dass ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, beliebigen Code ausführen kann. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen.

Warum ist Codeausführung bei diesem Problem unwahrscheinlich?  
Ein Angreifer, der versucht, dieses Problem für Codeausführung auszunutzen, muss ausführbaren Inhalt in einen bestimmten Bereich im Kernelspeicher schreiben. Da die Startadresse jedoch zufällig sein wird, ist es schwierig, das endgültige Zeigerziel vorauszusagen. Die standardmäßige Implementierung der zufälligen Anordnung des Layouts des Adressraums (ASLR) auf betroffenen Systemen erschwert diese Vorhersage weiter. In den meisten Szenarien führt Angreifercode sehr viel wahrscheinlicher zu einem Denial-of-Service als zu Codeausführung.

Was ist die zufällige Anordnung des Layouts des Adressraums (ASLR)?  
Systeme, die zufällige Anordnung des Layouts des Adressraums implementieren, repositionieren normalerweise vorhersagbare Funktionseinstiegspunkte pseudo-zufällig im Speicher. Weitere Informationen zu ASLR finden Sie im TechNet Magazin-Artikel Innerhalb des Windows Vista-Kernels: Teil 3.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?  
Diese Sicherheitsanfälligkeit erfordert, dass ein Benutzer eine speziell gestaltete Bilddatei mithilfe einer betroffenen Anwendung anzeigt. Nur Anwendungen, die die APIs für GDI zum Darstellen von Bildern verwenden, sind von diesem Problem betroffen.

In einem webbasierten Angriffsszenario muss ein Angreifer eine Website mit einer speziell gestalteten Bilddatei einrichten, durch die diese Sicherheitsanfälligkeit ausgenutzt wird. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Der Angreifer müsste stattdessen den Benutzer zum Besuch dieser Webseite verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?  
Von dieser Sicherheitsanfälligkeit sind in erster Linie Arbeitsstationen betroffen. Server können ebenfalls gefährdet sein, wenn die Aero-Desktopfunktionen aktiviert sind.

Sind Anwendungen von Drittanbietern von diesem Problem betroffen?  
Einige Bildbetrachtungsanwendungen von Drittanbietern können von diesem Problem betroffen sein, wenn sie Bilder mithilfe der APIs für GDI darstellen. Um sicherzustellen, dass Ihr System vollständig vor der in diesem Bulletin beschriebenen Sicherheitsanfälligkeit geschützt ist, sollten Sie sich direkt an den Entwickler oder Anbieter wenden, der für die Unterstützung für die Anwendung von Drittanbietern verantwortlich ist.

Was bewirkt das Update?  
Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der kanonische Anzeigetreiber Informationen analysiert, die vom Benutzermodus in den Kernelmodus kopiert werden.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?  
Ja. Diese Sicherheitsanfälligkeit wurde veröffentlicht. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit CVE-2009-3678 zugewiesen.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?  
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Benutzer ausgenutzt wurde.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.