Microsoft Security Bulletin MS15-020 – Kritisch

Sicherheitsrisiken in Microsoft Windows könnten Remotecodeausführung zulassen (3041836)

Veröffentlicht: 10. März 2015 | Aktualisiert: 10. März 2015

Version: 1.1

Kurzfassung

Dieses Sicherheitsupdate behebt Sicherheitsrisiken in Microsoft Windows. Die Sicherheitsanfälligkeiten könnten Remotecodeausführung ermöglichen, wenn ein Angreifer einen Benutzer erfolgreich davon überzeugt, zu einer speziell gestalteten Website zu navigieren, eine speziell gestaltete Datei zu öffnen oder zu einem Arbeitsverzeichnis zu navigieren, das eine speziell gestaltete DLL-Datei enthält.

Dieses Sicherheitsupdate wird für alle unterstützten Versionen von Microsoft Windows kritisch bewertet. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie Microsoft Text Services Objekte im Arbeitsspeicher verarbeitet und wie Microsoft Windows das Laden von DLL-Dateien behandelt. Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt "Sicherheitsrisikoinformationen ".

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3041836.

Betroffene Software

Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Beachten Sie, dass die Updates für Windows Technical Preview und Windows Server Technical Preview verfügbar sind. Kunden, die diese Betriebssysteme ausführen, werden ermutigt, die Updates anzuwenden, die über Windows Update verfügbar sind.

^[1]Dieses Update ist nur über Windows Update verfügbar.

Schweregradbewertungen und Sicherheitslücken-IDs

Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung im März.

Informationen zu Sicherheitsrisiken

Sicherheitsanfälligkeit in WTS bezüglich Remotecodeausführung – CVE-2015-0081

Eine Sicherheitsanfälligkeit in Remotecodeausführung ist vorhanden, wenn Windows Text Services Objekte im Arbeitsspeicher nicht ordnungsgemäß verarbeitet. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann beliebigen Code im Kontext des angemeldeten Benutzers ausführen.

Um diese Sicherheitsanfälligkeit auszunutzen, müsste ein Angreifer einen Benutzer davon überzeugen, zu einer speziell gestalteten Website zu navigieren oder eine speziell gestaltete Datei zu öffnen. Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft Text Services Objekte im Arbeitsspeicher verarbeitet.

Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ursprünglich ausgegeben wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Sicherheitsanfälligkeit in der Remotecodeausführung bei DLL-Anlagen – CVE-2015-0096

Eine Sicherheitsanfälligkeit in Remotecodeausführung ist vorhanden, wenn Microsoft Windows das Laden von DLL-Dateien nicht ordnungsgemäß verarbeitet. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Die Sicherheitsanfälligkeit ist vorhanden, wenn Windows Verknüpfungen so analysiert, dass bösartiger Code ausgeführt werden kann, wenn das Symbol einer speziell gestalteten Verknüpfung angezeigt wird. Damit die Sicherheitsanfälligkeit ausgenutzt wird, muss ein Benutzer Windows Explorer verwenden, um zu einer schädlichen Website, Remotenetzwerkfreigabe oder einem lokalen Arbeitsverzeichnis zu navigieren (beachten Sie, dass andere Methoden zum Browsen zu einem Arbeitsverzeichnis, z. B. über cmd.exe oder powershell.exe, nicht den Exploit auslösen). Darüber hinaus kann die Sicherheitsanfälligkeit über USB-Wechseldatenträger ausgenutzt werden, insbesondere auf Systemen, auf denen die automatische Wiedergabe aktiviert wurde.

Nachdem der Benutzer zum schädlichen Verzeichnis navigiert hat, wird die speziell gestaltete DLL, die es enthält, in den Speicher geladen, wodurch der Angreifer die Kontrolle über das betroffene System im Sicherheitskontext des angemeldeten Benutzers erhält. Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft Windows das Laden von DLL-Dateien behandelt.

Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ursprünglich ausgegeben wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Die folgenden Problemumgehungen können in Ihrer Situation hilfreich sein:

• Deaktivieren der Anzeige von Symbolen für Verknüpfungen

  Hinweis: Microsoft Knowledge Base-Artikel 2286198, um die automatisierte Microsoft Fix it-Lösung zu verwenden, um diese Problemumgehung zu aktivieren oder zu deaktivieren. Für diese Lösung "Fix it" ist ein Neustart nach Abschluss erforderlich, um wirksam zu sein. Diese Lösung zur Behebung stellt die Problemumgehung bereit und hat somit die gleichen Auswirkungen auf den Benutzer. Es wird empfohlen, dass Administratoren den KB-Artikel vor der Bereitstellung dieser Fix it-Lösung genau überprüfen.

  Beachten Sie, dass die Verwendung des Registrierungs-Editors schwerwiegende Probleme verursachen kann, die möglicherweise eine neu installierte Installation des Betriebssystems erfordern. Microsoft übernimmt keinerlei Garantie dafür, dass Probleme aufgrund nicht ordnungsgemäßer Verwendung des Registrierungs-Editors behoben werden können. Sie verwenden den Registrierungs-Editor auf eigene Verantwortung. Informationen zum Bearbeiten der Registrierung können Sie im Hilfethema "Ändern von Schlüsseln und Werten" im Registrierungs-Editor (Regedit.exe) anzeigen oder die Hilfethemen "Informationen in der Registrierung hinzufügen und löschen" und "Registrierungsdaten bearbeiten" in Regedt32.exe anzeigen.

  1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "Regedit" in das Feld "Öffnen" ein, und klicken Sie dann auf "OK".

  2. Suchen Sie den folgenden Registrierungsunterschlüssel, und wählen Sie ihn aus:

         HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
     

  3. Klicken Sie auf das Menü "Datei " und dann auf " Exportieren".

  4. Geben Sie im Dialogfeld "Registrierungsdatei exportieren" LNK_Icon_Backup.reg ein, und klicken Sie dann auf "Speichern".
     Hinweis : Dadurch wird standardmäßig eine Sicherung dieses Registrierungsschlüssels im Ordner "Eigene Dokumente" erstellt.

  5. Wählen Sie im Registrierungs-Editor den Wert (Standard) im rechten Bereich aus. Drücken Sie die EINGABETASTE , um den Wert der Taste zu bearbeiten. Löschen Sie den Wert, sodass der Wert leer ist, und drücken Sie die EINGABETASTE.

  6. Suchen Sie den folgenden Registrierungsunterschlüssel, und wählen Sie ihn aus:

         HKEY_CLASSES_ROOT\piffile\shellex\IconHandler
     

  7. Klicken Sie auf das Menü "Datei " und dann auf " Exportieren".

  8. Geben Sie im Dialogfeld "Registrierungsdatei exportieren" PIF_Icon_Backup.reg ein, und klicken Sie dann auf "Speichern".
     Hinweis : Dadurch wird standardmäßig eine Sicherung dieses Registrierungsschlüssels im Ordner "Eigene Dokumente" erstellt.

  9. Wählen Sie im Registrierungs-Editor den Wert (Standard) im rechten Bereich aus. Drücken Sie die EINGABETASTE , um den Wert der Taste zu bearbeiten. Löschen Sie den Wert, sodass der Wert leer ist, und drücken Sie die EINGABETASTE.

  10. Melden Sie sich alle Benutzer ab und wieder an, oder starten Sie den Computer neu.

Auswirkungen der Problemumgehung. Durch das Deaktivieren von Symbolen, die für Verknüpfungen angezeigt werden, wird verhindert, dass das Problem auf betroffenen Systemen ausgenutzt wird. Wenn diese Problemumgehung implementiert ist, zeigt das System möglicherweise die meisten Symbole als "weißes" Standardobjektsymbol an, was sich auf die Benutzerfreundlichkeit auswirkt. Es wird empfohlen, dass Systemadministratoren diese Problemumgehung gründlich vor der Bereitstellung testen. Wenn die Problemumgehung rückgängig gemacht wird, werden alle Symbole wieder angezeigt.

So können Sie die Problemumgehung rückgängig machen.

Verwenden der interaktiven Methode:

1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "Regedit" in das Feld "Öffnen" ein, und klicken Sie dann auf "OK".
2. Klicken Sie auf das Menü "Datei " und dann auf " Importieren".
3. Wählen Sie im Dialogfeld "Registrierungsdatei importieren" LNK_Icon_Backup.reg aus, und klicken Sie dann auf "Öffnen".
4. Klicken Sie auf das Menü "Datei " und dann auf " Importieren".
5. Wählen Sie im Dialogfeld "Registrierungsdatei importieren" PIF_Icon_Backup.reg aus, und klicken Sie dann auf "Öffnen".
6. Beenden Sie den Registrierungs-Editor, und starten Sie den Computer anschließend neu.  

Manuelles Zurücksetzen der Registrierungsschlüsselwerte auf die Standardwerte:

1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "Regedit" in das Feld "Öffnen" ein, und klicken Sie dann auf "OK".

2. Suchen Sie den folgenden Registrierungsschlüssel, und klicken Sie dann auf den folgenden Registrierungsschlüssel:

       HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
   

3. Setzen Sie den Registrierungsschlüsselwert auf Folgendes zurück:

       {00021401-0000-0000-C000-000000000046}
   

4. Suchen Sie den folgenden Registrierungsschlüssel, und klicken Sie dann auf den folgenden Registrierungsschlüssel:

       HKEY_CLASSES_ROOT\piffile\shellex\IconHandler
   

5. Setzen Sie den Registrierungsschlüsselwert auf Folgendes zurück:

       {00021401-0000-0000-C000-000000000046}
   

6. Starten Sie den Computer neu

• Deaktivieren des WebClient-Diensts

  Durch Deaktivieren des WebClient-Diensts können betroffene Systeme vor Versuchen geschützt werden, diese Sicherheitsanfälligkeit auszunutzen, indem der wahrscheinlichste Remoteangriffsvektor über den Web Distributed Authoring and Versioning (WebDAV)-Clientdienst blockiert wird. Nach der Anwendung dieser Problemumgehung ist es weiterhin möglich, dass Remote-Angreifer, die diese Sicherheitsanfälligkeit erfolgreich ausnutzen, Microsoft Office Outlook dazu veranlasst, Programme auf dem Computer des Zielbenutzers oder im Lan (Local Area Network) auszuführen, die Benutzer werden jedoch vor dem Öffnen beliebiger Programme aus dem Internet zur Bestätigung aufgefordert.

  Führen Sie die folgenden Schritte aus, um den WebClient-Dienst zu deaktivieren:

  1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "Services.msc" ein, und klicken Sie dann auf "OK".
  2. Klicken Sie mit der rechten Maustaste auf den WebClient-Dienst, und wählen Sie "Eigenschaften" aus.
  3. Ändern Sie den Starttyp in "Deaktiviert". Wenn der Dienst ausgeführt wird, klicken Sie auf "Beenden".
  4. Klicken Sie auf "OK", und beenden Sie die Verwaltungsanwendung.  

Auswirkungen der Problemumgehung. Wenn der WebClient-Dienst deaktiviert ist, werden Web Distributed Authoring and Versioning (WebDAV)-Anforderungen nicht übertragen. Darüber hinaus werden alle Dienste, die explizit vom Webdienst abhängen, nicht gestartet, und eine Fehlermeldung wird im Systemprotokoll protokolliert. Auf WebDAV-Freigaben kann beispielsweise nicht vom Clientcomputer aus zugegriffen werden.

Rückgängigmachen der Problemumgehung:

Führen Sie die folgenden Schritte aus, um den WebClient-Dienst erneut zu aktivieren:

1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "Services.msc" ein, und klicken Sie dann auf "OK".
2. Klicken Sie mit der rechten Maustaste auf den WebClient-Dienst, und wählen Sie "Eigenschaften" aus.
3. Ändern Sie den Starttyp in "Automatisch". Wenn der Dienst nicht ausgeführt wird, klicken Sie auf "Start".
4. Klicken Sie auf "OK", und beenden Sie die Verwaltungsanwendung.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (10. März 2015): Bulletin veröffentlicht.
• V1.1 (10. März 2015): Bulletin überarbeitet, um den Angriffsvektor für die Sicherheitsanfälligkeit in der DLL-Planting remote Code Execution (CVE-2015-0096) besser zu erläutern.

Seite generiert 2015-03-11 10:30Z-07:00.