Microsoft Security Bulletin MS16-116 – Kritisch

Sicherheitsupdate in der OLE-Automatisierung für DAS VBScript-Skriptmodul (3188724)

Veröffentlicht: 13. September 2016

Version: 1.0

Kurzfassung

Dieses Sicherheitsupdate behebt eine Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit könnte die Remotecodeausführung ermöglichen, wenn ein Angreifer einen Benutzer eines betroffenen Systems erfolgreich davon überzeugt, eine böswillige oder kompromittierte Website zu besuchen. Beachten Sie, dass Sie zwei Updates installieren müssen, um vor der sicherheitsanfälligkeit zu schützen, die in diesem Bulletin erläutert wird: Das Update in diesem Bulletin, MS16-116 und das Update in MS16-104.

Das Sicherheitsupdate wirkt sich auf alle unterstützten Versionen von Microsoft Windows aus und wird auf Clientbetriebssystemen und auf Servern als kritisch eingestuft. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .

Dieses Sicherheitsupdate in Verbindung mit dem Internet Explorer-Update in MS16-104 behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der Microsoft OLE-Automatisierungsmechanismus und das VBScript-Skriptmodul in Internet Explorer Objekte im Arbeitsspeicher verarbeiten. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Abschnitt "Sicherheitsrisikeninformationen ".

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3188724.

Schweregradbewertungen betroffener Software und Sicherheitsrisiken

Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Die für jede betroffene Software angegebenen Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung im September.

^[1]Dieses Update ist über Windows Update verfügbar.

^[2]Windows 10-Updates sind kumulativ. Die monatliche Sicherheitsversion enthält alle Sicherheitsupdates für Sicherheitsrisiken, die sich auf Windows 10 sowie nicht sicherheitsrelevante Updates auswirken. Die Updates sind über den Microsoft Update-Katalog verfügbar.

Beachten Sie die in diesem Bulletin beschriebenen Sicherheitsrisiken, die sich auf Windows Server 2016 Technical Preview 5 auswirken. Um vor den Sicherheitsrisiken geschützt zu werden, empfiehlt Microsoft Kunden, die dieses Betriebssystem ausführen, das aktuelle Update anzuwenden, das über Windows Update verfügbar ist.

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in jeder Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der UPDATE-KB-Nummer, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen finden Sie auf der Registerkarte "Paketdetails").

Häufig gestellte Fragen zum Aktualisieren

Zusätzlich zur Installation dieses Updates gibt es weitere Schritte, die ich ausführen muss, um vor CVE-2016-3375 geschützt zu sein?  Ja. Obwohl für den Schutz von Windows 10-Systemen vor CVE-2016-3375 keine zusätzlichen Schritte außer der Installation des kumulativen Updates vom September Windows 10 erforderlich sind, schützt das 3184122 Sicherheitsupdate selbst nicht vollständig vor CVE-2016-3375. Außerdem müssen Sie das kumulative Update von Internet Explorer 3185319 in MS16-104 installieren, um vollständig vor der Sicherheitsanfälligkeit geschützt zu sein.

Informationen zu Sicherheitsrisiken

Sicherheitsanfälligkeit im Skriptmodul bezüglich Speicherbeschädigung – CVE-2016-3375

Eine Sicherheitsanfälligkeit in Remotecodeausführung besteht in der Art und Weise, wie der Microsoft OLE-Automatisierungsmechanismus und das VBScript-Skriptmodul in Internet Explorer auf Objekte im Arbeitsspeicher zugreifen. Die Sicherheitsanfälligkeit könnte den Speicher auf eine Weise beschädigen, die es einem Angreifer ermöglichen könnte, beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte dieselben Benutzerrechte wie der aktuelle Benutzer erhalten. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann der Angreifer die Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen.

Ein Angreifer könnte eine speziell gestaltete Website hosten, die darauf ausgelegt ist, die Sicherheitsanfälligkeit über Internet Explorer auszunutzen, und dann einen Benutzer davon überzeugen, die Website anzuzeigen. Der Angreifer könnte auch kompromittierte Websites oder Websites nutzen, die vom Benutzer bereitgestellte Inhalte oder Werbung akzeptieren oder hosten, indem sie speziell gestaltete Inhalte hinzufügen, die die Sicherheitsanfälligkeit ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zu zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen müsste ein Angreifer die Benutzer davon überzeugen, Maßnahmen zu ergreifen, in der Regel über eine Verlockung in E-Mails oder Chatnachrichten, oder indem er sie erhält, um eine E-Mail-Anlage zu öffnen.

Das Update in Verbindung mit dem Internet Explorer-Update in MS16-104 behebt die Sicherheitsanfälligkeit, indem geändert wird, wie der Microsoft OLE-Automatisierungsmechanismus und das VBScript-Skriptmodul in Internet Explorer Objekte im Arbeitsspeicher verarbeiten.

Die folgende Tabelle enthält Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (13. September 2016): Bulletin veröffentlicht.

Seite generiert 2016-09-12 09:57-07:00.