Microsoft Security Bulletin MS12-058 - Kritisch
Sicherheitsanfälligkeiten in Microsoft Exchange Server WebReady Document Viewing können Remotecodeausführung ermöglichen (2740358)
Veröffentlicht: | Aktualisiert:
Version: 2.2
Allgemeine Informationen
Kurzzusammenfassung
Dieses Sicherheitsupdate behebt öffentlich gemeldete Sicherheitsanfälligkeiten in Microsoft Exchange Server WebReady Document Viewing. Die Sicherheitsanfälligkeiten können Remotecodeausführung im Sicherheitskontext des Transcodierungsdienstes auf dem Exchange-Server ermöglichen, wenn ein Benutzer mithilfe von Outlook Web App (OWA) eine Vorschau einer speziell gestalteten Datei anzeigt. Der Transcodierungsdienst in Exchange, der für WebReady Document Viewing verwendet wird, wird im LocalService-Konto ausgeführt. Das LocalService-Konto verfügt auf dem lokalen Computer über Mindestberechtigungen und zeigt im Netzwerk anonyme Anmeldeinformationen an.
Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Microsoft Exchange Server 2007 und Microsoft Exchange Server 2010 als Kritisch eingestuft. Weitere Informationen finden Sie im Unterabschnitt Betroffene und nicht betroffene Software in diesem Abschnitt.
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem die betroffenen Oracle Outside In-Bibliotheken auf eine nicht anfällige Version aktualisiert werden. Weitere Informationen zu den Sicherheitsanfälligkeiten finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ für den bestimmten Sicherheitsanfälligkeitseintrag unter dem nächsten Abschnitt „Informationen zu Sicherheitsanfälligkeiten“.
Dieses Sicherheitsupdate behebt auch die Sicherheitsanfälligkeiten für betroffene Editionen von Microsoft Exchange Server, die erstmals in der Microsoft-Sicherheitsempfehlung 2737111 beschrieben wurden.
Empfehlung. Benutzer können die automatische Aktualisierung konfigurieren, um mithilfe des Dienstes Microsoft Update online auf Updates von Microsoft Update zu prüfen. Benutzer, die die automatische Aktualisierung aktiviert und darauf konfiguriert haben, online auf Updates von Microsoft Update zu prüfen, müssen in der Regel keine Maßnahmen ergreifen, weil dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates von Microsoft Update prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen in der automatischen Aktualisierung in unterstützten Editionen von Windows XP und Windows Server 2003 finden Sie im Microsoft Knowledge Base-Artikel 294871. Weitere Informationen zur automatischen Aktualisierung in unterstützten Editionen von Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 finden Sie unter Automatische Aktualisierung von Windows.
Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, das Update sofort mit der Updateverwaltungssoftware zu installieren bzw. mithilfe des Diensts Microsoft Update auf Updates zu prüfen.
Siehe auch den Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung weiter unten in diesem Bulletin.
Bekannte Probleme. Keine
Betroffene und nicht betroffene Software
Folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen haben entweder das Ende des Lebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder Edition zu ermitteln.
Betroffene Software
| Software | Maximale Sicherheitsauswirkung | Bewertung des Gesamtschweregrads | Ersetzte Updates |
|---|---|---|---|
| Microsoft Server Software | |||
| Microsoft Exchange Server 2007 Service Pack 3 (KB2756497) | Remotecodeausführung | Kritisch | Keine |
| Microsoft Exchange Server 2010 Service Pack 1 (KB2756496) | Remotecodeausführung | Kritisch | Keine |
| Microsoft Exchange Server 2010 Service Pack 2 (KB2756485) | Remotecodeausführung | Kritisch | Keine |
Nicht betroffene Software
| Microsoft Server Software |
|---|
| Microsoft Exchange Server 2003 Service Pack 2 |
Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate
Informationen zu Sicherheitsanfälligkeiten
Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeit
Oracle Outside In enthält mehrere ausnutzbare Sicherheitsanfälligkeiten
Informationen zum Update
Tools und Anleitungen zur Erkennung und Bereitstellung
Bereitstellung von Sicherheitsupdates
Weitere Informationen:
Danksagungen
Microsoft dankt den folgenden Personen, dass sie zum Schutz unserer Kunden mit uns zusammengearbeitet haben:
- Will Dorman vom CERT/CC für die Zusammenarbeit mit uns an mehreren Sicherheitsanfälligkeiten in Oracle Outside In (CVE-2012-1766, CVE-2012-1767, CVE-2012-1768, CVE-2012-1769, CVE-2012-1770, CVE-2012-1771, CVE-2012-1772, CVE-2012-1773, CVE-2012-3106, CVE-2012-3107, CVE-2012-3108, CVE-2012-3109 und CVE-2012-3110).
Microsoft Active Protections Program (MAPP)
Um den Sicherheitsschutz für Benutzer zu verbessern, stellt Microsoft den wichtigsten Sicherheitssoftwareanbietern vor der monatlichen Veröffentlichung der Sicherheitsupdates Informationen zu Sicherheitsanfälligkeiten bereit. Anbieter von Sicherheitssoftware können diese Informationen zu Sicherheitsanfälligkeiten dann verwenden, um Benutzern aktualisierten Schutz über ihre Sicherheitssoftware oder ihre Geräte bereitzustellen, z. B. Antivirus, netzwerkbasierte Angriffserkennungssysteme oder hostbasierte Angriffsverhinderungssysteme. Wenn Sie erfahren möchten, ob von den Sicherheitssoftwareanbietern aktiver Schutz verfügbar ist, besuchen Sie die von den Programmpartnern bereitgestellte Active Protections-Websites, die unter MAPP-Partner (Microsoft Active Protections Program) aufgeführt sind.
Support
So erhalten Sie Hilfe und Support zu diesem Sicherheitsupdate
- Hilfe beim Installieren von Updates: Support für Microsoft Update
- Sicherheitslösungen für IT-Experten: TechNet Sicherheit – Problembehandlung und Support
- So schützen Sie Ihren Computer, auf dem Windows ausgeführt wird, vor Viren und schädlicher Software: Viruslösung und Security Center
- Lokaler Support entsprechend Ihrem Land: Internationaler Support
Haftungsausschluss
Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für Sie.
Revisionen
- V1.0 (14. August 2012): Bulletin veröffentlicht.
- V2.0 (9. Oktober 2012): Bulletin überarbeitet, um die erneute Veröffentlichung der Updates für Microsoft Exchange Server 2007 Service Pack 3 (KB2756497), Microsoft Exchange Server 2010 Service Pack 1 (KB2756496) und Microsoft Exchange Server 2010 Service Pack 2 (KB2756485) anzubieten. Benutzer müssen die erneut veröffentlichten Updatepakete installieren, um ein Problem mit digitalen Zertifikaten zu vermeiden, das in der Microsoft-Sicherheitsempfehlung 2749655 beschrieben ist.
- V2.1 (10. Oktober 2012): Den Häufig gestellten Fragen (FAQ) wurde ein Eintrag bezüglich der erneut veröffentlichten Updates KB2756497, KB2756496 und KB2756485 als Anleitung zur Bereitstellung hinzugefügt. Weitere Informationen finden Sie in den häufig gestellten Fragen (FAQs) zu diesem Update.
- V2.2 (20. November 2012): Die Dateinamen der Updatepakete, die Registrierungsüberprüfungsschlüssel und die Namen der Protokolldateien für die Updates KB2756497 und KB2756496, die nicht korrekt in diesem Bulletin enthalten waren, wurden korrigiert. Dies sind lediglich Informationsänderungen. Die Downloadseiten und Knowledge Base-Artikel enthielten bereits die richtigen Informationen.