Microsoft Security Bulletin MS17-013 – Kritisch

Sicherheitsupdate für Microsoft Graphics Component (4013075)

Veröffentlicht: 14. März 2017 | Aktualisiert: 9. Mai 2017

Version: 3.0

Kurzfassung

Dieses Sicherheitsupdate behebt Sicherheitsrisiken in Microsoft Windows, Microsoft Office, Skype for Business, Microsoft Lync und Microsoft Silverlight. Die schwerwiegendsten dieser Sicherheitsanfälligkeiten könnten die Remotecodeausführung ermöglichen, wenn ein Benutzer entweder eine speziell gestaltete Website besucht oder ein speziell gestaltetes Dokument öffnet. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Dieses Sicherheitsupdate ist als kritisch eingestuft für:

• Alle unterstützten Versionen von Microsoft Windows
• Betroffene Editionen von Microsoft Office 2007 und Microsoft Office 2010
• Betroffene Editionen von Skype for Business 2016, Microsoft Lync 2013 und Microsoft Lync 2010
• Betroffene Editionen von Silverlight

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie die Software Objekte im Arbeitsspeicher verarbeitet.

Weitere Informationen finden Sie im Abschnitt "Betroffene Software- und Sicherheitsrisikobewertungen" .

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 4013075.

Schweregradbewertungen betroffener Software und Sicherheitsrisiken

Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Die für jede betroffene Software angegebenen Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung im März.

Microsoft Windows

^[1]Dieses Update ist nur über Windows Update verfügbar.

^[2]Windows 10-Updates sind kumulativ. Die monatliche Sicherheitsversion enthält alle Sicherheitsupdates für Sicherheitsrisiken, die sich auf Windows 10 sowie nicht sicherheitsrelevante Updates auswirken. Die Updates sind über den Microsoft Update-Katalog verfügbar.

^[3]Ab der Version vom Oktober 2016 ändert Microsoft das Updatewartungsmodell für Windows 7, Windows Server 2008 R2, Windows 8.1, Windows Server 2012 und Windows Server 2012 R2. Weitere Informationen finden Sie in diesem Microsoft TechNet-Artikel.

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in jeder Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der Update-KB-Nummer, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen werden auf der Registerkarte "Paketdetails " bereitgestellt).

Microsoft Office

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in jeder Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der UPDATE-KB-Nummer, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen finden Sie auf der Registerkarte "Paketdetails").

Microsoft Communications Platforms and Software

^[1]Bevor Sie dieses Update installieren, müssen Sie update 2965218 und Sicherheitsupdate 3039779 installiert haben. Weitere Informationen finden Sie in den häufig gestellten Fragen zu Updates.

^[2]Dieses Update ist im Microsoft Download Center verfügbar.

^[3]Ein Update für das Konferenz-Add-In für Microsoft Office Outlook ist ebenfalls verfügbar. Weitere Informationen und Downloadlinks finden Sie unter "Herunterladen des Konferenz-Add-Ins für Microsoft Office Outlook".

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in einer Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der KB-Nummer des Updates, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen befinden sich auf der Registerkarte "Paketdetails ").

Microsoft Developer Tools und Software

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in einer Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der KB-Nummer des Updates, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen befinden sich auf der Registerkarte "Paketdetails ").

Häufig gestellte Fragen zum Aktualisieren

Warum wird das Sicherheitsupdate 4012583 in diesem Bulletin auch in MS17-011 bezeichnet?
Warum wird das Sicherheitsupdate 4012497 in diesem Bulletin auch in MS17-018 bezeichnet?
Sicherheitsupdate-4012583 wird auch in MS17-011 angegeben, und 4012497 wird auch in MS17-018 für unterstützte Versionen von Windows Vista und Windows Server 2008 aufgrund der Art und Weise, wie Korrekturen für Sicherheitsrisiken, die bestimmte Produkte betreffen, konsolidiert werden. Da Bulletins durch die behobenen Sicherheitsrisiken, nicht durch das zu veröffentlichende Updatepaket, aufgeschlüsselt werden, ist es möglich, dass separate Bulletins, die jeweils unterschiedliche Sicherheitsrisiken adressieren, dasselbe Updatepaket wie das Fahrzeug für die Bereitstellung ihrer jeweiligen Fixes auflisten. Dies ist häufig der Fall bei kumulativen Updates für Produkte, z. B. Internet Explorer oder Silverlight, bei denen einzelne Sicherheitsupdates unterschiedliche Sicherheitslücken in separaten Bulletins behandeln.

Beachten Sie, dass Benutzer keine identischen Sicherheitsupdates installieren müssen, die mehr als einmal mit mehreren Bulletins ausgeliefert werden.

Für einige der betroffenen Software stehen mehrere Updatepakete zur Verfügung. Muss ich alle updates installieren, die in der Tabelle "Betroffene Software" für die Software aufgeführt sind?
Ja. Kunden sollten alle updates anwenden, die für die auf ihren Systemen installierte Software angeboten werden. Wenn mehrere Updates angewendet werden, können sie in beliebiger Reihenfolge installiert werden.

Muss ich diese Sicherheitsupdates in einer bestimmten Sequenz installieren?
Nein Mehrere Updates für ein bestimmtes System können in einer beliebigen Reihenfolge angewendet werden.

Ich verwende Office 2010, das als betroffene Software aufgeführt ist. Warum wird das Update nicht angeboten?
Das Update, KB3127958 (Ogl.dll), gilt nicht für Office 2010 unter Windows Vista und höheren Versionen von Windows, da der anfällige Code nicht vorhanden ist.

Ich werde dieses Update für Software angeboten, die nicht speziell als betroffen in der Tabelle "Betroffene Software und Bewertungen des Schweregrads der Sicherheitsanfälligkeit" angegeben ist. Warum wird dieses Update angeboten?
Wenn Updates anfälligen Code behandeln, der in einer Komponente vorhanden ist, die zwischen mehreren Microsoft Office-Produkten oder zwischen mehreren Versionen desselben Microsoft Office-Produkts gemeinsam genutzt wird, gilt das Update als für alle unterstützten Produkte und Versionen, die die anfällige Komponente enthalten.

Wenn beispielsweise ein Update für Microsoft Office 2007-Produkte gilt, kann nur Microsoft Office 2007 in der Tabelle "Betroffene Software" aufgeführt sein. Das Update kann jedoch auf Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer oder ein anderes Microsoft Office 2007-Produkt angewendet werden, das nicht speziell in der Tabelle "Betroffene Software" aufgeführt ist. Wenn ein Update für Microsoft Office 2010-Produkte gilt, kann nur Microsoft Office 2010 speziell in der Tabelle "Betroffene Software" aufgeführt werden. Das Update kann jedoch auf Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer oder ein anderes Microsoft Office 2010-Produkt angewendet werden, das nicht ausdrücklich in der Tabelle "Betroffene Software" aufgeführt ist.

Weitere Informationen zu diesem Verhalten und empfohlenen Aktionen finden Sie im Microsoft Knowledge Base-Artikel 830335. Eine Liste der Microsoft Office-Produkte, auf die ein Update angewendet werden kann, finden Sie im Microsoft Knowledge Base-Artikel, der dem jeweiligen Update zugeordnet ist. Gibt es Voraussetzungen für alle in diesem Bulletin angebotenen Updates für betroffene Editionen von Microsoft Lync 2013 (Skype for Business)?
Ja. Kunden, die betroffene Editionen von Microsoft Lync 2013 (Skype for Business) ausführen, müssen zuerst das im April 2015 veröffentlichte 2965218 Update für Office 2013 und dann das im Mai 2015 veröffentlichte 3039779 Sicherheitsupdate installieren. Weitere Informationen zu diesen beiden erforderlichen Updates finden Sie unter:

• Knowledge Base-Artikel 2965218
• Knowledge Base-Artikel 3039779

Warum ist das Update für Lync 2010 Attendee (Installation auf Benutzerebene) nur im Microsoft Download Center verfügbar?
Microsoft veröffentlicht das Update nur für Lync 2010 Attendee (Installation auf Benutzerebene) im Microsoft Download Center . Da die Installation von Lync 2010 Attendee auf Benutzerebene über eine Lync-Sitzung behandelt wird, sind Verteilungsmethoden wie automatische Aktualisierungen für diese Art von Installationsszenario nicht geeignet.

Enthält diese Version zusätzliche sicherheitsrelevante Änderungen an Funktionen?
Ja. Zusätzlich zu den Sicherheitsupdates, die die in diesem Bulletin beschriebenen Sicherheitslücken beheben, veröffentlicht Microsoft ein Update, das bestimmte Drittanbieterbibliotheken ersetzt, die von Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 und allen Versionen von Windows 10 verwendet wurden. Dieses Update bietet die gleiche Funktionalität auf sicherere und zuverlässigere Weise.

Informationen zu Sicherheitsrisiken

Mehrere Windows GDI-Rechteerweiterungsrisiken

Rechteerweiterungsrisiken bestehen in der Art und Weise, wie die Windows Graphics Device Interface (GDI) Objekte im Arbeitsspeicher verarbeitet. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausgenutzt hat, kann beliebigen Code im Kernelmodus ausführen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen.

Um diese Sicherheitsrisiken auszunutzen, müsste sich ein Angreifer zuerst beim System anmelden. Ein Angreifer könnte dann eine speziell gestaltete Anwendung ausführen, die diese Sicherheitsrisiken ausnutzen und die Kontrolle über ein betroffenes System übernehmen kann.

Das Update behebt diese Sicherheitsanfälligkeiten, indem korrigiert wird, wie GDI Objekte im Arbeitsspeicher behandelt, und indem Instanzen unbeabsichtigter Rechteerweiterungen im Benutzermodus verhindert werden.

Die folgende Tabelle enthält einen Link zum Standardeintrag für die Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Sicherheitsanfälligkeit in Windows-Grafikkomponenten bezüglich Offenlegung von Informationen – CVE-2017-0038

Eine Sicherheitslücke zur Offenlegung von Informationen ist vorhanden, wenn die Windows GDI-Komponente den Inhalt des Speichers nicht ordnungsgemäß offenlegt. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte Informationen erhalten, um das System des Benutzers weiter zu kompromittieren.

Es gibt mehrere Möglichkeiten, wie ein Angreifer die Sicherheitsanfälligkeit ausnutzen kann, z. B. indem er einen Benutzer überzeugen kann, ein speziell gestaltetes Dokument zu öffnen oder einen Benutzer dazu zu überzeugen, eine nicht vertrauenswürdige Webseite zu besuchen.

Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie die Windows GDI-Komponente Objekte im Arbeitsspeicher verarbeitet.

Die folgende Tabelle enthält einen Link zum Standardeintrag für die Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Mehrere GDI+ Sicherheitsanfälligkeiten zur Offenlegung von Informationen

Es gibt mehrere Sicherheitsrisiken zur Offenlegung von Informationen, sodass die Windows Graphics Device Interface (GDI) Objekte im Arbeitsspeicher verarbeitet, sodass ein Angreifer Informationen aus einem zielbezogenen System abrufen kann. Allein die Offenlegung von Informationen lässt keine willkürliche Codeausführung zu; Es könnte jedoch zulassen, dass beliebiger Code ausgeführt wird, wenn der Angreifer ihn in Kombination mit einer anderen Sicherheitsanfälligkeit verwendet.

Um diese Sicherheitsrisiken auszunutzen, müsste sich ein Angreifer bei einem betroffenen System anmelden und eine speziell gestaltete Anwendung ausführen.

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie GDI Speicheradressen verarbeitet.

Die folgende Tabelle enthält einen Link zum Standardeintrag für die Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Mehrere Sicherheitsrisiken bei der Offenlegung von Microsoft-Farbverwaltungsinformationen

Es gibt mehrere Sicherheitsrisiken zur Offenlegung von Informationen, die durch das Farbverwaltungsmodul (ICM32.dll) Objekte im Arbeitsspeicher verarbeitet. Diese Sicherheitsrisiken ermöglichen es einem Angreifer, Informationen abzurufen, um den Benutzermodus ASLR (Address Space Layout Randomization) in einem zielbezogenen System zu umgehen. Allein die Offenlegung von Informationen lässt keine willkürliche Codeausführung zu; Sie könnten jedoch zulassen, dass beliebiger Code ausgeführt wird, wenn der Angreifer ihn in Kombination mit einer anderen Sicherheitsanfälligkeit verwendet.

In einem webbasierten Angriffsszenario könnte ein Angreifer eine speziell gestaltete Website hosten, die darauf ausgelegt ist, die Sicherheitsanfälligkeit auszunutzen, und dann die Benutzer davon überzeugen, die Website anzuzeigen. Ein Angreifer hätte keine Möglichkeit, Benutzer zu zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen müsste ein Angreifer die Benutzer davon überzeugen, maßnahmen zu ergreifen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die Benutzer zur Website des Angreifers führt, oder indem er eine anlage öffnet, die per E-Mail gesendet wird.

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie das Farbverwaltungsmodul Objekte im Arbeitsspeicher verarbeitet.

Die folgende Tabelle enthält einen Link zum Standardeintrag für die Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Sicherheitsanfälligkeiten in mehreren Grafikkomponenten bezüglich Remotecodeausführung

Remotecodeausführungsrisiken bestehen aufgrund der Art und Weise, wie die Windows-Grafikkomponente Objekte im Arbeitsspeicher verarbeitet. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausgenutzt hat, kann die Kontrolle über das betroffene System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Es gibt mehrere Möglichkeiten, wie ein Angreifer diese Sicherheitsrisiken ausnutzen könnte.

• In einem webbasierten Angriffsszenario könnte ein Angreifer eine speziell gestaltete Website hosten, die darauf ausgelegt ist, diese Sicherheitsanfälligkeit auszunutzen, und dann einen Benutzer davon überzeugen, die Website anzuzeigen. Ein Angreifer hätte keine Möglichkeit, Benutzer zu zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen müsste ein Angreifer benutzer davon überzeugen, Maßnahmen zu ergreifen, in der Regel durch Klicken auf einen Link in einer E-Mail-Nachricht oder in einer Instant Messenger-Nachricht, die Benutzer zur Website des Angreifers führt, oder indem er eine Anlage öffnet, die per E-Mail gesendet wurde.
• In einem Angriffsszenario für die Dateifreigabe könnte ein Angreifer eine speziell gestaltete Dokumentdatei bereitstellen, die diese Sicherheitsrisiken ausnutzen soll, und dann einen Benutzer davon überzeugen, die Dokumentdatei zu öffnen.

Beachten Sie, dass der Vorschaubereich für betroffene Microsoft Office-Produkte ein Angriffsvektor ist.

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie die Windows-Grafikkomponente Objekte im Arbeitsspeicher verarbeitet.

Die folgende Tabelle enthält Links zum Standardeintrag für die Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (14. März 2017): Bulletin veröffentlicht.

• V1.1 (14. März 2017): Geänderte Überlassung von Paketen 3178688 sich auf Microsoft Office 2010 Service Pack 2 (32- und 64-Bit-Editionen) von 3115131 in MS16-097 auf 2889841 in MS16-148.

• V2.0 (11. April 2017): Bulletin überarbeitet, um die Version des Updates 4017018 für Windows Vista und Windows Server 2008 bekannt zu geben. Das Update ersetzt nur update 4012583 für CVE-2017-0038, um die Sicherheitsanfälligkeit umfassend zu beheben. Microsoft empfiehlt Kunden, die die betroffene Software ausführen, das Sicherheitsupdate zu installieren, um vollständig vor der in diesem Bulletin beschriebenen Sicherheitsanfälligkeit zu schützen. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 4017018.

• V3.0 (9. Mai 2017): Microsoft hat Sicherheitsupdate 4017018 für betroffene Editionen von Windows Server 2008 erneut veröffentlicht. Die erneute Veröffentlichung wurde als Sicherheitsupdate neu klassifiziert. Microsoft empfiehlt Kunden, Update-4017018 zu installieren, um vollständig vor CVE-2017-0038 geschützt zu sein. Kunden, die das Update bereits installiert haben, müssen keine weiteren Maßnahmen ergreifen.
  Darüber hinaus gilt diese Sicherheitsupdatekorrektur auch für Windows Server 2008 für Itanium-basierte Systeme.

Seite generiert 2017-05-09 09:49-07:00.