Microsoft Security Bulletin MS15-039 – Wichtig
Sicherheitsanfälligkeit in XML Core Services könnte die Umgehung von Sicherheitsfeatures zulassen (3046482)
Veröffentlicht: 14. April 2015
Version: 1.0
Kurzfassung
Dieses Sicherheitsupdate behebt eine Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit könnte die Umgehung von Sicherheitsfeatures ermöglichen, wenn ein Benutzer auf einen speziell gestalteten Link klickt. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, benutzer zu zwingen, auf einen speziell gestalteten Link zu klicken; Ein Angreifer müsste Benutzer davon überzeugen, auf den Link zu klicken, in der Regel durch eine Verlockung in einer E-Mail- oder Instant Messenger-Nachricht.
Dieses Sicherheitsupdate für Microsoft XML Core Services 3.0 ist für alle unterstützten Editionen von Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 als wichtig eingestuft. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft XML Core-Dienste die Richtlinie für denselben Ursprung in einem Dokumenttypdeklarationsszenario (DTD) erzwingen. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Unterabschnitt häufig gestellte Fragen (FAQ) für die spezifische Sicherheitsanfälligkeit.
Weitere Informationen zu diesem Dokument finden Sie im Knowledge Base-Artikel 3046482.
Betroffene Software
Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.
| Betriebssystem | Komponente | Maximale Sicherheitswirkung | Bewertung des aggregierten Schweregrads | Ersetzte Updates |
|---|---|---|---|---|
| Windows Server 2003 | ||||
| Windows Server 2003 Service Pack 2 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2003 x64 Edition Service Pack 2 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2003 mit SP2 für Itanium-basierte Systeme (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Vista | ||||
| Windows Vista Service Pack 2 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Vista x64 Edition Service Pack 2 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2008 | ||||
| Windows Server 2008 für 32-Bit-Systeme Service Pack 2 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2008 für x64-basierte Systeme Service Pack 2 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2008 für Itanium-basierte Systeme Service Pack 2 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows 7 | ||||
| Windows 7 für 32-Bit-Systeme Service Pack 1 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows 7 für x64-basierte Systeme Service Pack 1 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2008 R2 | ||||
| Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2008 R2 für Itanium-basierte Systeme Service Pack 1 (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Server Core-Installationsoption | ||||
| Windows Server 2008 für 32-Bit-Systeme Service Pack 2 (Server Core-Installation) (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2008 für x64-basierte Systeme Service Pack 2 (Server Core-Installation) (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
| Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (Server Core-Installation) (3046482) | Microsoft XML Core Services 3.0 | Umgehung von Sicherheitsfeatures | Wichtig | 2993958 in MS14-067 |
Häufig gestellte Fragen zum Aktualisieren
Welche Version von Microsoft XML Core Services ist auf meinem System installiert?
Einige Versionen von Microsoft XML Core Services sind in Microsoft Windows enthalten; andere werden mit Nicht-Betriebssystemsoftware von Microsoft oder Drittanbietern installiert. Einige sind auch als separate Downloads verfügbar. Die folgende Tabelle zeigt die unterstützten Versionen von Microsoft Windows und gibt an, welche Versionen von Microsoft XML Core Services im Betriebssystem enthalten sind und welche Versionen installiert werden, wenn Sie zusätzliche Microsoft- oder Drittanbietersoftware installieren.
| Betriebssystem | MSXML 3.0 und MSXML 6.0 | MSXML 4.0 und MSXML 5.0 |
|---|---|---|
| Windows Server 2003 | MSXML 3.0 wurde im Lieferumfang des Betriebssystems ausgeliefert. MSXML 6.0 mit zusätzlicher Software installiert. | Installiert mit zusätzlicher Software |
| Windows Vista | Ausgeliefert mit Betriebssystem | Installiert mit zusätzlicher Software |
| Windows Server 2008 | Ausgeliefert mit Betriebssystem | Installiert mit zusätzlicher Software |
| Windows 7 | Ausgeliefert mit Betriebssystem | Installiert mit zusätzlicher Software |
| Windows Server 2008 R2 | Ausgeliefert mit Betriebssystem | Installiert mit zusätzlicher Software |
| Windows 8 | Ausgeliefert mit Betriebssystem | Installiert mit zusätzlicher Software |
| Windows Server 2012 | Ausgeliefert mit Betriebssystem | Installiert mit zusätzlicher Software |
| Windows RT | Ausgeliefert mit Betriebssystem | MSXML 4.0 mit zusätzlicher Software installiert. MSXML 5.0 gilt nicht. |
| Windows 8.1 | Ausgeliefert mit Betriebssystem | Installiert mit zusätzlicher Software |
| Windows Server 2012 R2 | Ausgeliefert mit Betriebssystem | Installiert mit zusätzlicher Software |
| Windows RT 8.1 | Ausgeliefert mit Betriebssystem | MSXML 4.0 mit zusätzlicher Software installiert. MSXML 5.0 gilt nicht. |
Hinweis: Informationen dazu, welche Versionen von Microsoft unterstützt werden, finden Sie im Microsoft Knowledge Base-Artikel 269238.
MSXML 3.0 wird mit Windows 8 und höheren Betriebssystemen ausgeliefert; warum sind sie nicht betroffen?
Obwohl MSXML 3.0 im Lieferumfang von Windows 8, Windows Server 2012, Windows RT, Windows 8.1, Windows Server 2012 R2 und Windows RT 8.1 enthalten ist, enthalten diese Betriebssysteme bereits den Fix, der die in diesem Bulletin erläuterte Sicherheitsanfälligkeit behebt.
Schweregradbewertungen und Sicherheitslücken-IDs
Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, finden Sie im Bulletinzusammenfassung vom April den Exploitability Index.
| Bewertung des Schweregrads der Sicherheitsanfälligkeit und maximale Sicherheitsbeeinträchtigung durch betroffene Software | ||
|---|---|---|
| Betroffene Software | MSXML3– Sicherheitsanfälligkeit in der GLEICHEN Ursprungsrichtlinie – CVE-2015-1646 | Bewertung des aggregierten Schweregrads |
| Windows Server 2003 | ||
| Windows Server 2003 Service Pack 2 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2003 x64 Edition Service Pack 2 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2003 mit SP2 für Itanium-basierte Systeme (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Vista | ||
| Windows Vista Service Pack 2 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Vista x64 Edition Service Pack 2 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2008 | ||
| Windows Server 2008 für 32-Bit-Systeme Service Pack 2 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2008 für x64-basierte Systeme Service Pack 2 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2008 für Itanium-basierte Systeme Service Pack 2 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows 7 | ||
| Windows 7 für 32-Bit-Systeme Service Pack 1 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows 7 für x64-basierte Systeme Service Pack 1 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2008 R2 | ||
| Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2008 R2 für Itanium-basierte Systeme Service Pack 1 (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Server Core-Installationsoption | ||
| Windows Server 2008 für 32-Bit-Systeme Service Pack 2 (Server Core-Installation) (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2008 für x64-basierte Systeme Service Pack 2 (Server Core-Installation) (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
| Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (Server Core-Installation) (3046482) | Wichtige Umgehung von Sicherheitsfeatures | Wichtig |
Informationen zu Sicherheitsrisiken
MSXML3– Sicherheitsanfälligkeit in der GLEICHEN Ursprungsrichtlinie – CVE-2015-1646
In Microsoft XML Core Services (MSXML) ist eine Sicherheitslücke zur Umgehung von Richtlinien mit demselben Ursprung vorhanden Standard der Datenzugriff in einem Dokumenttypdeklarationsszenario (DOCUMENT Type Declaration, DTD) möglich sein könnte. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann auf vertrauliche Benutzerinformationen zugreifen, z. B. Benutzername oder Kennwort und Dateien auf der Festplatte.
In einem E-Mail-Angriffsszenario könnte ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er einen speziell gestalteten Link an den Benutzer sendet und den Benutzer dazu überzeugen kann, auf den Link zu klicken. In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, die verwendet wird, um die Sicherheitsanfälligkeit auszunutzen. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zu zwingen, einen speziell gestalteten Link zu öffnen; Ein Angreifer müsste Benutzer davon überzeugen, auf den Link zu klicken, in der Regel durch eine Verlockung in einer E-Mail- oder Instant Messenger-Nachricht.
Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft XML Core-Dienste die Richtlinie für denselben Ursprung in einem DTD-Szenario erzwingen.
Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ausgestellt wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.
Mildernde Faktoren
Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.
Bereitstellung von Sicherheitsupdates
Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.
Danksagungen
Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".
Haftungsausschluss
Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.
Revisionen
- V1.0 (14. April 2015): Bulletin veröffentlicht.
Seite generiert 2015-04-13 11:40Z-07:00.