Sicherheitsanfälligkeit in XML Core Services könnte die Umgehung von Sicherheitsfeatures zulassen (3046482)
Veröffentlicht: 14. April 2015
Version: 1.0
Kurzfassung
Dieses Sicherheitsupdate behebt eine Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit könnte die Umgehung von Sicherheitsfeatures ermöglichen, wenn ein Benutzer auf einen speziell gestalteten Link klickt. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, benutzer zu zwingen, auf einen speziell gestalteten Link zu klicken; Ein Angreifer müsste Benutzer davon überzeugen, auf den Link zu klicken, in der Regel durch eine Verlockung in einer E-Mail- oder Instant Messenger-Nachricht.
Dieses Sicherheitsupdate für Microsoft XML Core Services 3.0 ist für alle unterstützten Editionen von Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 als wichtig eingestuft. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft XML Core-Dienste die Richtlinie für denselben Ursprung in einem Dokumenttypdeklarationsszenario (DTD) erzwingen. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Unterabschnitt häufig gestellte Fragen (FAQ) für die spezifische Sicherheitsanfälligkeit.
Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.
Welche Version von Microsoft XML Core Services ist auf meinem System installiert?
Einige Versionen von Microsoft XML Core Services sind in Microsoft Windows enthalten; andere werden mit Nicht-Betriebssystemsoftware von Microsoft oder Drittanbietern installiert. Einige sind auch als separate Downloads verfügbar. Die folgende Tabelle zeigt die unterstützten Versionen von Microsoft Windows und gibt an, welche Versionen von Microsoft XML Core Services im Betriebssystem enthalten sind und welche Versionen installiert werden, wenn Sie zusätzliche Microsoft- oder Drittanbietersoftware installieren.
Betriebssystem
MSXML 3.0 und MSXML 6.0
MSXML 4.0 und MSXML 5.0
Windows Server 2003
MSXML 3.0 wurde im Lieferumfang des Betriebssystems ausgeliefert. MSXML 6.0 mit zusätzlicher Software installiert.
Installiert mit zusätzlicher Software
Windows Vista
Ausgeliefert mit Betriebssystem
Installiert mit zusätzlicher Software
Windows Server 2008
Ausgeliefert mit Betriebssystem
Installiert mit zusätzlicher Software
Windows 7
Ausgeliefert mit Betriebssystem
Installiert mit zusätzlicher Software
Windows Server 2008 R2
Ausgeliefert mit Betriebssystem
Installiert mit zusätzlicher Software
Windows 8
Ausgeliefert mit Betriebssystem
Installiert mit zusätzlicher Software
Windows Server 2012
Ausgeliefert mit Betriebssystem
Installiert mit zusätzlicher Software
Windows RT
Ausgeliefert mit Betriebssystem
MSXML 4.0 mit zusätzlicher Software installiert. MSXML 5.0 gilt nicht.
Windows 8.1
Ausgeliefert mit Betriebssystem
Installiert mit zusätzlicher Software
Windows Server 2012 R2
Ausgeliefert mit Betriebssystem
Installiert mit zusätzlicher Software
Windows RT 8.1
Ausgeliefert mit Betriebssystem
MSXML 4.0 mit zusätzlicher Software installiert. MSXML 5.0 gilt nicht.
MSXML 3.0 wird mit Windows 8 und höheren Betriebssystemen ausgeliefert; warum sind sie nicht betroffen?
Obwohl MSXML 3.0 im Lieferumfang von Windows 8, Windows Server 2012, Windows RT, Windows 8.1, Windows Server 2012 R2 und Windows RT 8.1 enthalten ist, enthalten diese Betriebssysteme bereits den Fix, der die in diesem Bulletin erläuterte Sicherheitsanfälligkeit behebt.
Schweregradbewertungen und Sicherheitslücken-IDs
Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, finden Sie im Bulletinzusammenfassung vom April den Exploitability Index.
Bewertung des Schweregrads der Sicherheitsanfälligkeit und maximale Sicherheitsbeeinträchtigung durch betroffene Software
Windows Server 2003 x64 Edition Service Pack 2 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Server 2003 mit SP2 für Itanium-basierte Systeme (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Vista
Windows Vista Service Pack 2 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Vista x64 Edition Service Pack 2 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Server 2008
Windows Server 2008 für 32-Bit-Systeme Service Pack 2 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Server 2008 für x64-basierte Systeme Service Pack 2 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Server 2008 für Itanium-basierte Systeme Service Pack 2 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows 7
Windows 7 für 32-Bit-Systeme Service Pack 1 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows 7 für x64-basierte Systeme Service Pack 1 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Server 2008 R2
Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Server 2008 R2 für Itanium-basierte Systeme Service Pack 1 (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Server Core-Installationsoption
Windows Server 2008 für 32-Bit-Systeme Service Pack 2 (Server Core-Installation) (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Server 2008 für x64-basierte Systeme Service Pack 2 (Server Core-Installation) (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (Server Core-Installation) (3046482)
Wichtige Umgehung von Sicherheitsfeatures
Wichtig
Informationen zu Sicherheitsrisiken
MSXML3– Sicherheitsanfälligkeit in der GLEICHEN Ursprungsrichtlinie – CVE-2015-1646
In Microsoft XML Core Services (MSXML) ist eine Sicherheitslücke zur Umgehung von Richtlinien mit demselben Ursprung vorhanden Standard der Datenzugriff in einem Dokumenttypdeklarationsszenario (DOCUMENT Type Declaration, DTD) möglich sein könnte. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann auf vertrauliche Benutzerinformationen zugreifen, z. B. Benutzername oder Kennwort und Dateien auf der Festplatte.
In einem E-Mail-Angriffsszenario könnte ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er einen speziell gestalteten Link an den Benutzer sendet und den Benutzer dazu überzeugen kann, auf den Link zu klicken. In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, die verwendet wird, um die Sicherheitsanfälligkeit auszunutzen. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zu zwingen, einen speziell gestalteten Link zu öffnen; Ein Angreifer müsste Benutzer davon überzeugen, auf den Link zu klicken, in der Regel durch eine Verlockung in einer E-Mail- oder Instant Messenger-Nachricht.
Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft XML Core-Dienste die Richtlinie für denselben Ursprung in einem DTD-Szenario erzwingen.
Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ausgestellt wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.
Mildernde Faktoren
Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.
Bereitstellung von Sicherheitsupdates
Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.
Danksagungen
Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".
Haftungsausschluss
Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.