Exportieren (0) Drucken
Alle erweitern

Microsoft-Sicherheitsempfehlung 953818

Gemischte Bedrohung durch kombinierten Angriff mit Safari von Apple auf der Windows-Plattform

Veröffentlicht: Freitag, 30. Mai 2008 | Aktualisiert: Dienstag, 14. April 2009

Version: 2.0

Microsoft hat öffentliche Meldungen über eine komplexe Bedrohung untersucht, die Remotecodeausführung auf allen unterstützten Versionen von Windows XP und Windows Vista ermöglicht, wenn Safari von Apple für Windows installiert wurde. Safari wird nicht standardmäßig mit Windows XP oder Windows Vista installiert: Es muss unabhängig oder durch die Apple-Softwareupdateanwendung installiert werden. Benutzer, die Safari unter Windows ausführen, sollten diese Empfehlung lesen.

Wir haben die Microsoft Security Bulletins MS09-014, Kumulatives Sicherheitsupdate für Internet Explorer (963027), und MS09-015, Sicherheitsanfälligkeit durch komplexe Bedrohung in SearchPath kann Erhöhung von Berechtigungen ermöglichen (959426), veröffentlicht, um dieses Problem zu beheben. Weitere Informationen zu diesem Problem, einschließlich Downloadlinks für ein Sicherheitsupdate, finden Sie in MS09-014 und MS09-015.

Apple Support hat eine Sicherheitsempfehlung veröffentlicht, die die Sicherheitsanfälligkeit in Safari 3.1.2 von Apple für Windows behebt. Weitere Informationen finden Sie in der Sicherheitsempfehlung von Apple Informationen über den Sicherheitsinhalt von Safari 3.1.2 für Windows.

Schadensbegrenzende Faktoren:

  • Benutzer, die den standardmäßigen Pfad geändert haben, wohin Safari heruntergeladene Inhalte auf dem lokalen Laufwerk abspeichert, sind von dieser gemischten Bedrohung nicht betroffen.

Allgemeine Informationen

Zweck dieser Sicherheitsempfehlung: Durch diese Sicherheitsmitteilung sollen Kunden zunächst benachrichtigt werden, und es sollen zusätzliche Informationen bezüglich der Auswirkung auf betroffene Windows-Plattformen bereitgestellt werden.

Status der Empfehlung: Die Empfehlung wurde veröffentlicht.

Empfehlung: Lesen Sie die Vorschläge und führen Sie die entsprechenden Maßnahmen durch.

ReferenzenIdentifizierung
Microsoft Knowledge Base-Artikel 953818
Microsoft Security Bulletin MS09-014
Microsoft Security Bulletin MS09-015
CVE-Referenz CVE-2008-2540

Diese Empfehlung betrifft die folgende Software.

Betroffene Software
Windows XP Service Pack 2
Windows XP Service Pack 3
Windows XP Professional x64 Edition
Windows XP Professional x64 Edition Service Pack 2
Windows Vista
Windows Vista Service Pack 1
Windows Vista x64 Edition
Windows Vista x64 Edition Service Pack 1
Internet Explorer 6 für Windows XP Service Pack 2, Windows XP Service Pack 3, Windows XP Professional x64 Edition und Windows XP Professional x64 Edition Service Pack 2
Internet Explorer 7 für Windows XP Service Pack 2, Windows XP Service Pack 3, Windows XP Professional x64 Edition und Windows XP Professional x64 Edition Service Pack 2
Internet Explorer 7 für Windows Vista, Windows Vista Service Pack 1, Windows Vista x64 Edition und Windows Vista x64 Edition Service Pack 1

Was genau umfasst diese Empfehlung?
In dieser Empfehlung werden öffentliche Meldungen von einer gemischten Bedrohung erläutert, die Remotecodeausführung ermöglichen kann und alle unterstützten Editionen von Windows XP und Windows Vista betrifft. Eine vollständige Liste betroffener Software finden Sie in der im Abschnitt „Überblick“ aufgeführten Software.

Ist dies eine Sicherheitsanfälligkeit, für die ein Sicherheitsupdate von Microsoft erforderlich ist?
Wir haben die Microsoft Security Bulletins MS09-014, Kumulatives Sicherheitsupdate für Internet Explorer (963027), und MS09-015, Sicherheitsanfälligkeit durch komplexe Bedrohung in SearchPath kann Erhöhung von Berechtigungen ermöglichen (959426), veröffentlicht, um dieses Problem zu beheben.

Wodurch wird diese Bedrohung verursacht?
Eine Kombination von Standarddownloadpfaden in Safari und der Art der Verarbeitung ausführbarer Dateien durch Windows-Desktop. Bei dieser gemischten Bedrohung können Dateien unaufgefordert auf den Computer eines Benutzers heruntergeladen werden, so dass sie ausgeführt werden können. Safari ist als eigenständige Installation oder über die Apple-Softwareupdateanwendung verfügbar.

Was kann ein Angreifer über diese Funktion erreichen?
Ein Angreifer kann Benutzer dazu verleiten, eine speziell gestaltete Website zu besuchen, die wiederum Inhalte auf den Computer des Benutzers herunterladen und diese lokal mit den gleichen Berechtigungen wie der angemeldete Benutzer ausführen kann.

  • Installieren Sie die Updates aus den Microsoft Security Bulletins MS09-014, Kumulatives Sicherheitsupdate für Internet Explorer (963027), und MS09-015, Sicherheitsanfälligkeit durch komplexe Bedrohung in SearchPath kann Erhöhung von Berechtigungen ermöglichen (959426), die für Ihre Umgebung geeignet sind.
  • Wenn Apple Safari auf Windows verwendet wird, stellen Sie sicher, dass es sich um Version 3.1.2 oder höher handelt. Das aktuelle Update von Apple Safari ist unter Apple Safari Download verfügbar.
  • Lesen Sie den Microsoft Knowledge Base-Artikel zu dieser Empfehlung.

Problemumgehungen

Microsoft hat die folgenden Problemumgehungen getestet. Diese Problemumgehungen beheben nicht die zugrunde liegende Sicherheitsanfälligkeit, sondern blockieren nur die bekannten Angriffsmethoden. Wenn eine Problemumgehung die Funktionalität verringert, wird diese Einschränkung im folgenden Abschnitt genannt.

  • Ändern des Downloadpfads des Inhalts in Safari in ein neu erstelltes Verzeichnis
    1. Erstellen Sie ein neues Verzeichnis, z. B. c:\SafariDownload.
    2. Klicken Sie in Safari auf Bearbeiten, und zeigen Sie dann auf Einstellungen.
    3. Wählen Sie an der Option Geladene Dateien speichern das neu erstellte Verzeichnis aus.

Weitere Informationen:

Danksagungen:

  • Aviv Raff für die Zusammenarbeit mit uns und den Hinweis auf die gemischte Bedrohung von Safari und Microsoft Internet Explorer.

Ressourcen:

  • Sie können uns Ihr Feedback über das Formular auf der Microsoft-Website Hilfe und Support: Kontakt zukommen lassen.
  • Technischer Support ist in den USA und Kanada über die Microsoft Support Services erhältlich. Weitere Informationen zu verfügbaren Supportoptionen finden Sie auf der Microsoft-Website „Hilfe und Support“.
  • Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Weitere Informationen dazu, wie Sie Microsoft in Bezug auf Supportfragen kontaktieren können, finden Sie auf der Website Internationale Hilfe und Support.
  • Auf der Microsoft-Website TechNet Sicherheit werden zusätzliche Informationen zur Sicherheit in Microsoft-Produkten zur Verfügung gestellt.

Haftungsausschluss:

Die Informationen in dieser Empfehlung werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Revisionen:

  • V1.0 (30. Mai 2008): Die Empfehlung wurde veröffentlicht.
  • V1.1 (6. Juni 2008): Änderung der Schritte in der Problemumgehung und Hinzufügen der Danksagung.
  • V1.2 (20. Juni 2008): Aktualisierung der Empfehlung, um einen Link zu der verwandten Sicherheitsempfehlung von Apple bereitzustellen.
  • V1.3 (2. Juli 2008): Die „Empfohlenen Maßnahmen“ wurden aktualisiert.
  • V2.0 (14. April 2009): Es wurden Verweise und Links zu MS09-014 und MS09-015 hinzugefügt, die das Problem in dieser Empfehlung beheben.

Built at 2014-04-18T01:50:00Z-07:00

Fanden Sie dies hilfreich?
(1500 verbleibende Zeichen)
Vielen Dank für Ihr Feedback.
Anzeigen:
© 2015 Microsoft