Exportieren (0) Drucken
Alle erweitern

Microsoft Security Bulletin MS14-014 - Hoch

Sicherheitsanfälligkeit in Silverlight kann Umgehung der Sicherheitsfunktion ermöglichen (2932677)

Veröffentlicht: Dienstag, 11. März 2014

Version: 1.0

Allgemeine Informationen

Kurzzusammenfassung

Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Silverlight. Die Sicherheitsanfälligkeit kann eine Umgehung der Sicherheitsfunktion ermöglichen, wenn ein Angreifer eine Website mit speziell gestalteten Silverlight-Inhalten hostet, mit der die Sicherheitsanfälligkeit ausgenutzt werden kann, und dann einen Benutzer zum Anzeigen der Website verleitet. Ein Angreifer kann Benutzer jedoch nicht zum Besuch einer solchen Website zwingen. Er muss den Benutzer zum Besuch einer Webseite verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken. Es besteht ebenfalls die Möglichkeit, speziell gestalteten Webinhalt mithilfe von Bannerwerbungen anzuzeigen oder Webinhalt auf andere Weise an betroffene Systeme zu übermitteln.

Dieses Sicherheitsupdate wird für Microsoft Silverlight 5 und Microsoft Silverlight 5 Developer Runtime bei Installation unter Mac und allen unterstützten Veröffentlichungen von Microsoft Windows als Hoch eingestuft. Weitere Informationen finden Sie im Unterabschnitt Betroffene und nicht betroffene Software in diesem Abschnitt.

Mit diesem Sicherheitsupdate werden frühere Versionen von Silverlight auf die Silverlight-Version 5.1.30214.0 aktualisiert. Das ist die erste Version von Silverlight 5, die nicht von der Sicherheitsanfälligkeit betroffen ist. Das Update behebt die Sicherheitsanfälligkeit, indem Funktionen geändert werden, um die Integrität von DEP (Data Execution Prevention; Datenausführungsverhinderung) und die zufällige Anordnung des Layouts des Adressraums (ASLR) in Silverlight zu wahren. Weitere Informationen zu der Sicherheitsanfälligkeit finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ im nächsten Abschnitt, Informationen zu Sicherheitsanfälligkeiten.

Empfehlung. Die meisten Benutzer haben die automatische Aktualisierung aktiviert und müssen keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871.

Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, das Update so schnell wie möglich mittels Updateverwaltungssoftware zu installieren bzw. mithilfe des Diensts Microsoft Update auf Updates zu prüfen.

Siehe auch den Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung weiter unten in diesem Bulletin.

Knowledge Base-Artikel

Knowledge Base-Artikel 2932677
DateiinformationenJa
SHA1/SHA2-HashesJa
Bekannte ProblemeKeine

Betroffene und nicht betroffene Software

Folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen haben entweder das Ende des Lebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder Edition zu ermitteln.

Betroffene Software

BetriebssystemMaximale SicherheitsauswirkungBewertung des GesamtschweregradsErsetzte Updates
Microsoft Silverlight 5
Microsoft Silverlight 5 bei Installation auf dem Mac
(2932677)
Umgehung der SicherheitsfunktionHoch2890788 in MS13-087
Microsoft Silverlight 5 Developer Runtime bei Installation auf dem Mac
(2932677)
Umgehung der SicherheitsfunktionHoch2890788 in MS13-087
Microsoft Silverlight 5 bei Installation unter allen unterstützten Versionen von Microsoft Windows-Clients
(2932677)
Umgehung der SicherheitsfunktionHoch2890788 in MS13-087
Microsoft Silverlight 5 Developer Runtime bei Installation unter allen unterstützten Versionen von Microsoft Windows-Clients
(2932677)
Umgehung der SicherheitsfunktionHoch2890788 in MS13-087
Microsoft Silverlight 5 bei Installation unter allen unterstützten Versionen von Microsoft Windows-Servern
(2932677)
Umgehung der SicherheitsfunktionHoch2890788 in MS13-087
Microsoft Silverlight 5 Developer Runtime bei Installation unter allen unterstützten Versionen von Microsoft Windows-Servern
(2932677)
Umgehung der SicherheitsfunktionHoch2890788 in MS13-087

Welche Webbrowser unterstützen Microsoft Silverlight-Anwendungen?
Um Microsoft Silverlight-Anwendungen ausführen zu können, erfordern die meisten Webbrowser, einschließlich Microsoft Internet Explorer, dass Microsoft Silverlight installiert und das entsprechende Plug-In aktiviert wird. Weitere Informationen zu Microsoft Silverlight finden Sie auf der offiziellen Website von Microsoft Silverlight. In der Dokumentation Ihres Browsers erfahren Sie mehr zum Deaktivieren oder Entfernen von Plug-Ins.

Welche Versionen von Microsoft Silverlight 5 sind von der Sicherheitsanfälligkeit betroffen?
Microsoft Silverlight Build 5.1.30214.0, der aktuelle Build von Microsoft Silverlight bei der ersten Veröffentlichung dieses Bulletins, behebt die Sicherheitsanfälligkeit und ist nicht betroffen. Builds von Microsoft Silverlight vor 5.1.30214.0 sind betroffen.

Woran erkenne ich, welche Version und welcher Build von Microsoft Silverlight derzeit auf meinem System installiert sind?
Wenn Microsoft Silverlight bereits auf Ihrem Computer installiert ist, können Sie die Seite zur Installation von Microsoft Silverlight besuchen, auf der Sie erfahren, welche Version und welcher Build von Microsoft Silverlight derzeit auf Ihrem System installiert sind. Alternativ können Sie die Funktion „Add-Ons verwalten“ in aktuellen Versionen von Microsoft Internet Explorer verwenden, um die Version und den Build zu bestimmen, die derzeit auf Ihrem System installiert sind.

Sie können auch manuell die Versionsnummer der Datei sllauncher.exe prüfen, die sich im Verzeichnis „%ProgramFiles%\Microsoft Silverlight“ (auf x86-Microsoft Windows-Systemen) oder im Verzeichnis „%ProgramFiles(x86)%\Microsoft Silverlight“ (auf x64-Microsoft Windows-Systemen) befindet.

Außerdem finden Sie unter Microsoft Windows die Versions- und Buildinformationen der derzeit installierten Version von Microsoft Silverlight in der Registrierung unter [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight]:Version auf x86-Microsoft Windows-Systemen oder [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Silverlight]:Version auf x64-Microsoft Windows-Systemen.

Unter Apple Mac OS finden Sie die Versions- und Buildinformationen der derzeit installierten Version von Microsoft Silverlight folgendermaßen:

  1. Öffnen Sie den Finder.
  2. Wählen Sie das Systemlaufwerk aus, und gehen Sie zum Ordner Internet-Plug-Ins – Bibliothek.
  3. Klicken Sie mit der rechten Maustaste auf die Datei Silverlight.Plugin (wenn Ihre Maus nur eine Taste hat, halten Sie die Strg-Taste gedrückt, wenn Sie auf die Datei klicken), um das Kontextmenü aufzurufen, und klicken Sie dann auf Paketinhalte anzeigen.
  4. Suchen Sie in dem Inhaltsordner nach der Datei Info.plist, und öffnen Sie sie mit einem Editor. Sie enthält einen Eintrag ähnlich diesem, in dem Ihnen die Versionsnummer angezeigt wird:

    SilverlightVersion
    5.1.30214.0

Mit diesem Sicherheitsupdate für Microsoft Silverlight 5 wird Version 5.1.30214.0 installiert. Wenn Ihre Versionsnummer von Microsoft Silverlight 5 dieser Versionsnummer entspricht oder höher ist, ist Ihr System nicht betroffen.

Wie aktualisiere ich meine Version von Microsoft Silverlight?
Mithilfe der Microsoft Silverlight-Funktion für automatische Updates wird sichergestellt, dass Ihre Microsoft Silverlight-Installation mit der aktuellen Version von Microsoft Silverlight, Microsoft Silverlight-Funktionen und Sicherheitsfunktionen auf dem neuesten Stand gehalten wird. Weitere Informationen zur Microsoft Silverlight-Funktion für automatische Updates finden Sie unter Microsoft Silverlight Updater. Windows-Benutzer, die die Microsoft Silverlight-Funktion für automatische Updates deaktiviert haben, können sich bei Microsoft Update anmelden, um die aktuelle Version von Microsoft Silverlight zu erhalten. Sie können die aktuelle Version von Microsoft Silverlight aber auch mit dem Downloadlink in der Tabelle „Betroffene Software“ im Abschnitt Betroffene und nicht betroffene Software weiter oben manuell herunterladen. Weitere Informationen zum Bereitstellen von Microsoft Silverlight in einer Unternehmensumgebung finden Sie im Silverlight Enterprise-Bereitstellungshandbuch.

Wird Version von Silverlight durch dieses Upgrade aktualisiert?
Mit dem Update 2932677 werden frühere Versionen von Silverlight auf die Silverlight-Version 5.1.30214.0 aktualisiert. Microsoft empfiehlt die Aktualisierung, um gegen die Sicherheitsanfälligkeit geschützt zu sein, die in diesem Bulletin beschrieben wird.

Wo kann ich zusätzliche Informationen zum Silverlight-Produktlebenszyklus finden?
Lebenszyklusinformationen, die für Silverlight spezifisch sind, finden Sie in der Microsoft Silverlight Support Lifecycle-Richtlinie.

Ich verwende eine ältere Version der in diesem Security Bulletin beschriebenen Software. Was soll ich tun?
Die in diesem Bulletin aufgeführte betroffene Software wurde daraufhin getestet, welche Versionen betroffen sind. Andere Versionen haben das Ende ihrer Supportlebenszyklen erreicht. Weitere Informationen zu den Produktzyklen finden Sie auf der Website Microsoft Support Lifecycle.

Benutzer älterer Versionen dieser Software sollten möglichst bald zu Versionen migrieren, für die Support angeboten wird, um sich vor künftigen Sicherheitsanfälligkeiten zu schützen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion finden Sie unter Produkt für Lebenszyklusinformationen auswählen. Weitere Informationen zu Service Packs für diese Softwareversionen finden Sie unter Service Pack Lifecycle Support Policy.

Benutzer, die zusätzlichen Support für ältere Software benötigen, müssen sich an ihren Microsoft-Kundenbetreuer, ihren Technical Account Manager oder den jeweiligen Microsoft-Partner wenden, um Supportangebote in Anspruch nehmen zu können. Kunden, die nicht über einen Alliance-, Premier- oder Authorized-Vertrag verfügen, können sich mit der regionalen Microsoft-Vertriebsniederlassung in Verbindung setzen. Kontaktinformationen finden Sie auf der Website Microsoft Worldwide. Wählen Sie in der Liste „Kontaktinformationen“ Ihr Land aus, und klicken Sie auf Go. Es wird eine Telefonnummer für Ihr Land angezeigt. Wenn Sie unter der angegebenen Nummer anrufen, fragen Sie bitte nach dem regionalen Vertriebsmanager für Premier Support. Weitere Informationen finden Sie auf der Seite Microsoft Support Lifecycle-Richtlinie – Häufig gestellte Fragen (FAQ).

Informationen zu Sicherheitsanfälligkeiten

Bei der folgenden Bewertung des Schweregrads wird die potenzielle maximale Auswirkung der Sicherheitsanfälligkeit angenommen. Informationen zur Wahrscheinlichkeit der Ausnutzung der Sicherheitsanfälligkeit in Bezug auf die Bewertung des Schweregrads und die Sicherheitsauswirkung innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Ausnutzbarkeitsindex im Bulletin Summary für März. Weitere Informationen finden Sie in Microsoft-Ausnutzbarkeitsindex.

Bewertung des Schweregrads und maximale Sicherheitsauswirkung nach betroffener Software
Betroffene SoftwareSicherheitsanfälligkeit in Silverlight DEP/ASLR durch Umgehung der Sicherheitsfunktion – CVE-2014-0319Bewertung des Gesamtschweregrads
Microsoft Silverlight 5
Microsoft Silverlight 5 bei Installation auf dem Mac Hoch
Umgehung der Sicherheitsfunktion
Hoch
Microsoft Silverlight 5 Developer Runtime bei Installation auf dem Mac Hoch
Umgehung der Sicherheitsfunktion
Hoch
Microsoft Silverlight 5 bei Installation unter allen unterstützten Versionen von Microsoft Windows-Clients Hoch
Umgehung der Sicherheitsfunktion
Hoch
Microsoft Silverlight 5 Developer Runtime bei Installation unter allen unterstützten Versionen von Microsoft Windows-Clients Hoch
Umgehung der Sicherheitsfunktion
Hoch
Microsoft Silverlight 5 bei Installation unter allen unterstützten Versionen von Microsoft Windows-Servern Hoch
Umgehung der Sicherheitsfunktion
Hoch
Microsoft Silverlight 5 Developer Runtime bei Installation unter allen unterstützten Versionen von Microsoft Windows-Servern Hoch
Umgehung der Sicherheitsfunktion
Hoch

In Silverlight liegt eine Sicherheitsanfälligkeit durch Umgehung der Sicherheitsfunktion vor, die durch eine fehlerhafte Implementierung der Datenausführungsverhinderung (DEP) und der zufälligen Anordnung des Layouts des Adressraums (ASLR) verursacht wird. Die Sicherheitsanfälligkeit kann einem Angreifer ermöglichen, die DEP/ASLR-Sicherheitsfunktion zu umgehen, am wahrscheinlichsten während der Ausnutzung einer Sicherheitsanfälligkeit bezüglich Remotecodeausführung.

Informationen zum Anzeigen dieser Sicherheitsanfälligkeit als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2014-0319.

Schadensbegrenzende Faktoren

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

  • In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Seite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Er muss den Benutzer zum Besuch dieser Website verleiten. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken.
  • Wenn ein Angreifer diese Sicherheitsanfälligkeit erfolgreich ausnutzt und eine andere Sicherheitsanfälligkeit damit verbindet, etwa eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung, kann er die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.
  • Internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2 und Windows Server 2012 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Dieser Modus verringert die Sicherheitsanfälligkeit. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Abschnitt „Häufig gestellte Fragen (FAQs)“ für dieses Sicherheitsupdate.

Problemumgehungen

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

  • Vorübergehendes Verhindern der Ausführung von Microsoft Silverlight in Internet Explorer

    Die vorübergehende Deaktivierung von Silverlight in Internet Explorer kann zum Schutz vor dieser Sicherheitsanfälligkeit beitragen. Führen Sie die folgenden Schritte aus, um Silverlight in Internet Explorer zu deaktivieren:

    1. Klicken Sie in Internet Explorer im Menü Extras auf Internetoptionen.
    2. Klicken Sie auf die Registerkarte „Programme“ und anschließend auf Add-Ons verwalten.
    3. Suchen Sie in den Listen Symbolleisten und Erweiterungen nach „Microsoft Silverlight“, und klicken Sie dann auf Deaktivieren.
  • Vorübergehendes Verhindern der Ausführung von Microsoft Silverlight in Mozilla Firefox

    Die vorübergehende Deaktivierung von Silverlight in Mozilla Firefox kann zum Schutz vor dieser Sicherheitsanfälligkeit beitragen. Führen Sie die folgenden Schritte aus, um Silverlight in Firefox zu deaktivieren:

    1. Klicken Sie in Firefox auf das Menü Extras und dann auf Addons.
    2. Klicken Sie im Fenster Addons auf die Registerkarte Plugins.
    3. Suchen Sie nach dem Plugin Silverlight, und klicken Sie dann auf Deaktivieren.
  • Vorübergehendes Verhindern der Ausführung von Microsoft Silverlight in Google Chrome

    Die vorübergehende Deaktivierung von Silverlight in Google Chrome kann zum Schutz vor dieser Sicherheitsanfälligkeit beitragen. Führen Sie die folgenden Schritte aus, um Silverlight in Chrome zu deaktivieren:

    1. Geben Sie in der Adressleiste von Google Chrome about:plugins ein.
    2. Suchen Sie auf der daraufhin angezeigten Seite nach dem Silverlight-Plugin, und deaktivieren Sie es.

Häufig gestellte Fragen (FAQs)

Worin genau besteht diese Sicherheitsanfälligkeit?
Dies ist eine Sicherheitsanfälligkeit aufgrund der Umgehung von Sicherheitsfunktionen.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Die Sicherheitsanfälligkeit wird dadurch verursacht, dass Microsoft Silverlight die DEP/ASLR-Sicherheitsfunktionen nicht richtig implementiert. Dadurch kann ein Angreifer zuverlässiger Speicheroffsets von bestimmten Anweisungen in einer gegebenen Aufrufliste voraussagen.

Was ist Microsoft Silverlight?
Microsoft Silverlight ist eine browserübergreifende, plattformübergreifende Implementierung von Microsoft .NET Framework zum Erstellen von Mediendarstellungen und reichhaltigen interaktiven Anwendungen für das Internet. Weitere Informationen finden Sie auf der offiziellen Website von Microsoft Silverlight.

Was ist ASLR?
Mit der zufälligen Anordnung des Layouts des Adressraums (ASLR) werden ausführbare Abbilder beim Start eines Systems an zufällige Speicherorte verschoben. Dies erschwert es einem Angreifer, Daten von vorhersagbaren Speicherorten zu nutzen. Damit eine Komponente ASLR unterstützt, müssen alle Komponenten, die von ihr geladen werden, ASLR ebenfalls unterstützen. Wenn z. B. für A.exe die Dateien B.dll und C.dll erforderlich sind, müssen alle drei ASLR unterstützen. Unter Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 und Windows Server 2012 R2 werden System-DLLs und -EXEs standardmäßig zufällig festgelegt. Von unabhängigen Softwareherstellern (ISV) erstellte DLL- und EXE-Dateien müssen jedoch mit der /DYNAMICBASE-Linkeroption gewählt werden, um ASLR zu unterstützen.

ASLR legt auch Heap- und Stapelspeicher zufällig fest:

  • Wenn eine Anwendung in Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 und Windows Server 2012 R2 einen Heap erstellt, wird dieser Heap vom Heapmanager an einem zufälligen Speicherort erstellt. Dadurch wird die Wahrscheinlichkeit verringert, dass ein Versuch gelingt, einen Heap-basierten Pufferüberlauf auszunutzen. Die zufällige Anordnung von Heaps ist standardmäßig für alle Anwendungen aktiviert, die unter Windows Vista und höher ausgeführt werden.
  • Wenn ein Thread in einem Prozess beginnt, der mit /DYNAMICBASE verknüpft ist, wird der Stapel des Threads in Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 und Windows Server 2012 R2 an einen zufälligen Speicherort verschoben. Dadurch soll die Wahrscheinlichkeit verringert werden, dass ein Versuch gelingt, einen Heap-basierten Pufferüberlauf auszunutzen.

Was ist DEP?
Die Datenausführungsverhinderung (Data Execution Prevention, DEP) ist eine Hardware- und Softwarelösung, mit der verhindert wird, dass Code von Speicherseiten ausgeführt wird, der nicht ausdrücklich als ausführbare Datei markiert ist. Windows XP SP2, Windows Server 2003 SP1 und höhere Betriebssysteme prüfen, ob die CPU die Durchsetzung des 'no execute'- oder 'execute disable'-Bits für eine Seite des Speichers unterstützt.

  • Bei Versionen vor Windows XP SP2 kann ein Exploit ("Code") aus dem Speicher ausgeführt werden, der zugewiesen wurde, ohne dass die Konstante zum Schutz gegen das Ausführen von Speicher festgelegt ist. Wenn z. B. eine Speicherseite mithilfe der Funktion VirtualAlloc() zugewiesen und PAGE_READWRITE angegeben wurde, war es immer noch möglich, Code von dieser Speicherseite auszuführen. Angefangen bei Windows XP SP2 und Windows Server 2003 SP1 und wenn die CPU „execute disable“- (XD – Intel CPUs) oder „no execute“-Bits (NX - AMD-CPUs) unterstützt, wird bei allen Versuchen, Code von einer Speicherseite mit einem (zum Beispiel) PAGE_READWRITE-Speicherschutz auszuführen, eine Ausnahme bezüglich Zugriffsverletzung, STATUS_ACCESS_VIOLATION (0xC0000005), generiert. Weitere Informationen dazu, wie die durch Hardware erzwungene DEP funktioniert, finden Sie unter Memory Protection Technologies (Englisch).
  • DEP ist für 64-Bit-Prozesse unter 64-Bit-Versionen von Windows „immer eingeschaltet“ und kann nicht deaktiviert werden. Die DEP-Richtlinie von Windows kann sowohl systemweit als auch prozessweise verwaltet werden. Beide Herangehensweisen werden weiter unten erläutert. Dieser Blogbeitrag gilt insbesondere für 32-Bit Prozesse, die entweder unter einer 32-Bit- oder einer 64-Bit-Version von Windows ausgeführt werden.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
In einem webbasierten Angriffsszenario kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, die Sicherheitsfunktion DEP/ASLR umgehen, die Benutzer vor einer breiten Palette von Sicherheitsanfälligkeiten schützt. Die Umgehung der Sicherheitsfunktion allein ermöglicht nicht die Ausführung von beliebigem Code. Ein Angreifer kann diese Sicherheitsanfälligkeit durch die Umgehung von DEP/ASLR in Verbindung mit einer anderen Sicherheitsanfälligkeit verwenden, etwa eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung, um die Umgehung von DEP/ASLR dahingehend auszunutzen, beliebigen Code auszuführen.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?
In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit speziell gestalteten Silverlight-Inhalten hosten, mit der versucht wird, diese Sicherheitsanfälligkeit auszunutzen. Außerdem können manipulierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Ein Angreifer kann einen Benutzer z. B. dazu überlisten, auf eine Verknüpfung zu klicken, mit der sie zur Site des Angreifers gelangen.

Wenn ein Benutzer mit einem Webbrowser wie Internet Explorer eine Website besucht, die schädliche Silverlight-Inhalte enthält, kann eine DEP/ASLR-Umgehung erreicht werden.

Ein Angreifer kann diese Sicherheitsanfälligkeit aufgrund der Umgehung von Sicherheitsfunktionen an eine zusätzliche Sicherheitsanfälligkeit binden, am ehesten an eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung. Die zusätzliche Sicherheitsanfälligkeit kann die Umgehung der Sicherheitsfunktion nutzen, um eine Ausnutzung herbeizuführen. Nach einer erfolgreichen Umgehung von ASLR z. B. kann eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung ausgenutzt werden, die von DEP/ASLR blockiert wird.

Ich führe Internet Explorer für Windows Server 2003, Windows Server 2008, Windows Server 2008 R2 bzw. Windows Server 2012 aus. Wird dadurch diese Sicherheitsanfälligkeit verringert?
Ja. Internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2 und Windows Server 2012 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, durch die die Wahrscheinlichkeit verringert wird, dass ein Endbenutzer oder Administrator speziell gestaltete Webinhalte auf einen Server herunterlädt und dort ausführt. Dies ist ein schadensbegrenzender Faktor für Websites, die nicht zu den vertrauenswürdigen Sites von Internet Explorer hinzugefügt wurden.

Trägt EMET dazu bei, Angriffe zu verringern, bei denen versucht wird, diese Sicherheitsanfälligkei t auszunutzen ?
Ja. Das Enhanced Mitigation Experience Toolkit (EMET) ermöglicht Benutzern, schadensbegrenzende Sicherheitstechniken zu verwalten, die es Angreifern schwerer machen, Sicherheitsanfälligkeiten in einer vorhandenen Software auszunutzen. EMET trägt dazu bei, diese Sicherheitsanfälligkeiten in Silverlight auf Systemen zu verringern, auf denen EMET installiert und für die Funktion mit Internet Explorer konfiguriert ist.

Weitere Informationen zu EMET finden Sie unter The Enhanced Mitigation Experience Toolkit.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Arbeitsstationen und Terminalserver sind am meisten gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, sich bei Servern anzumelden und Programme auszuführen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen.

Was bewirkt das Update?
Das Update behebt die Sicherheitsanfälligkeit, indem Funktionen geändert werden, um die Integrität von DEP/ASLR zu wahren.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch eine koordinierte Offenlegung der Sicherheitsanfälligkeit erhalten.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Benutzer ausgenutzt wurde.

Informationen zum Update

Es stehen mehrere Ressourcen zur Verfügung, um Administratoren bei der Bereitstellung von Sicherheitsupdates zu helfen.

  • Der Microsoft Baseline Security Analyzer (MBSA) ermöglicht Administratoren die Überprüfung von lokalen und Remotesystemen im Hinblick auf fehlende Sicherheitsupdates sowie auf häufig falsch konfigurierte Sicherheitsparameter.
  • Windows-Server Update Services (WSUS), Systems Management Server (SMS) und System Center Configuration Manager helfen Administratoren beim Verteilen von Sicherheitsupdates.
  • Die im Anwendungskompatibilitäts-Toolkit enthaltenen Komponenten zur Updatekompatibilitätsbewertung helfen dabei, die Vereinbarkeit von Windows-Updates mit installierten Anwendungen zu testen und zu überprüfen.

Weitere Informationen zu diesen und weiteren verfügbaren Tools finden Sie unter Sicherheitstools.

Hinweis: Windows-Tools zur Erkennung und Bereitstellung gelten nicht für Mac-Systeme. Mac-Benutzer können jedoch die Microsoft Silverlight-Funktion für automatische Updates verwenden, um sicherzustellen, dass Systeme mit der aktuellen Version von Microsoft Silverlight, Microsoft Silverlight-Funktionen und Sicherheitsfunktionen auf dem neuesten Stand sind. Weitere Informationen zur Microsoft Silverlight-Funktion für automatische Updates finden Sie unter Microsoft Silverlight Updater.

Betroffene Software

Um Informationen zum jeweiligen Sicherheitsupdate für Ihre betroffene Software zu erhalten, klicken Sie auf den entsprechenden Link:

Silverlight 5 für Mac (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Dateinamen der Sicherheitsupdates Für Microsoft Silverlight 5 bei Installation auf dem Mac:
Silverlight.dmg
Für Microsoft Silverlight 5 Developer Runtime bei Installation auf dem Mac:
silverlight_developer.dmg
Neustartanforderung Für dieses Update ist kein Neustart des Computers erforderlich.
Informationen zur Deinstallation Öffnen Sie den Finder, wählen Sie das Systemlaufwerk aus, gehen Sie zu dem Ordner Internet-Plug-ins – Bibliothek, und löschen Sie die Datei Silverlight.Plugin. (Das Update kann nicht entfernt werden, ohne das Silverlight-Plug-In zu entfernen.
Dateiinformationen Siehe Microsoft Knowledge Base-Artikel 2932677.
Überprüfen der Installation Im Abschnitt Häufig gestellte Fragen (FAQs) zu diesem Update in diesem Bulletin wird die Frage „Woran erkenne ich, welche Version und welcher Build von Microsoft Silverlight derzeit installiert sind?“ beantwortet.

Silverlight 5 für Windows (alle unterstützten Versionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Dateinamen der Sicherheitsupdates Für Microsoft Silverlight 5 bei Installation unter allen unterstützten 32-Bit-Versionen von Microsoft Windows:
silverlight.exe
Für Microsoft Silverlight 5 Developer Runtime bei Installation unter allen unterstützten 32-Bit-Versionen von Microsoft Windows:
silverlight_developer.exe
Für Microsoft Silverlight 5 bei Installation unter allen unterstützten 64-Bit-Versionen von Microsoft Windows:
silverlight_x64.exe
Für Microsoft Silverlight 5 Developer Runtime bei Installation unter allen unterstützten 64-Bit-Versionen von Microsoft Windows:
silverlight_developer_x64.exe
Installationsoptionen Siehe Silverlight Enterprise Deployment Guide
Neustartanforderung Für dieses Update ist kein Neustart des Computers erforderlich.
Informationen zur Deinstallation Verwenden Sie die Option Software in der Systemsteuerung. (Das Update kann nicht entfernt werden, ohne Silverlight zu entfernen.)
Dateiinformationen Siehe Microsoft Knowledge Base-Artikel 2932677.
Überprüfung des Registrierungsschlüssels Für 32-Bit-Installationen von Microsoft Silverlight 5:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight "Version" = "5.1.30214.0"
Für 64-Bit-Installationen von Microsoft Silverlight 5:
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Silverlight "Version" = "5.1.30214.0"
und
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight "Version" = "5.1.30214.0"

Weitere Informationen:

Danksagungen

Microsoft dankt den folgenden Personen, dass sie zum Schutz unserer Kunden mit uns zusammengearbeitet haben:

Microsoft Active Protections Program (MAPP)

Um den Sicherheitsschutz für Benutzer zu verbessern, stellt Microsoft den wichtigsten Sicherheitssoftwareanbietern vor der monatlichen Veröffentlichung der Sicherheitsupdates Informationen zu Sicherheitsanfälligkeiten bereit. Anbieter von Sicherheitssoftware können diese Informationen zu Sicherheitsanfälligkeiten dann verwenden, um Benutzern aktualisierten Schutz über ihre Sicherheitssoftware oder ihre Geräte bereitzustellen, z. B. Antivirus, netzwerkbasierte Angriffserkennungssysteme oder hostbasierte Angriffsverhinderungssysteme. Wenn Sie erfahren möchten, ob von den Sicherheitssoftwareanbietern aktiver Schutz verfügbar ist, besuchen Sie die von den Programmpartnern bereitgestellte Active Protections-Websites, die unter MAPP-Partner (Microsoft Active Protections Program) aufgeführt sind.

Support

So erhalten Sie Hilfe und Support zu diesem Sicherheitsupdate

Haftungsausschluss

Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für Sie.

Revisionen

  • V1.0 (11. März 2014): Bulletin veröffentlicht.

Built at 2014-04-18T01:50:00Z-07:00

Fanden Sie dies hilfreich?
(1500 verbleibende Zeichen)
Vielen Dank für Ihr Feedback.
Anzeigen:
© 2015 Microsoft