Microsoft Security Bulletin MS15-111 – Wichtig

Sicherheitsupdate für Windows-Kernel zur Adressierung der Rechteerweiterung (3096447)

Veröffentlicht: 13. Oktober 2015 | Aktualisiert: 29. Oktober 2015

Version: 1.2

Kurzfassung

Dieses Sicherheitsupdate behebt Sicherheitsrisiken in Microsoft Windows. Je schwerwiegender die Sicherheitsrisiken sind, können rechteerweiterungen zulassen, wenn sich ein Angreifer bei einem betroffenen System anmeldet und eine speziell gestaltete Anwendung ausführt.

Beachten Sie, dass Kunden, die lokale und Remoteberichtsnachweislösungen verwenden, die Details zu CVE-2015-2552 überprüfen sollten, die in diesem Bulletin erläutert werden.

Dieses Sicherheitsupdate ist für alle unterstützten Versionen von Microsoft Windows als wichtig eingestuft. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie der Windows-Kernel Objekte im Arbeitsspeicher verarbeitet, indem korrigiert wird, wie Windows bestimmte Szenarien mit Verknüpfungs- und Bereitstellungspunkterstellung behandelt, und indem die Analyse der Startkonfigurationsdaten (Boot Configuration Data, BCD) von Windows verbessert wird. Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt "Sicherheitsrisikoinformationen ".

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3096447.

Betroffene Software

Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

^[1]Dieses Update ist nur über Windows Update verfügbar.

^[2]Das Windows 10-Update ist kumulativ. Zusätzlich zu nicht sicherheitsrelevanten Updates enthält sie auch alle Sicherheitsupdates für alle windows 10-betroffenen Sicherheitsrisiken, die mit der Sicherheitsversion dieses Monats bereitgestellt werden. Das Update ist über den Windows Update-Katalog verfügbar. Weitere Informationen und Downloadlinks finden Sie im Microsoft Knowledge Base-Artikel 3097617 .

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in jeder Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der UPDATE-KB-Nummer, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen finden Sie auf der Registerkarte "Paketdetails").

Hinweis: Windows Server Technical Preview 3 ist betroffen. Kunden, die dieses Betriebssystem ausführen, werden aufgefordert, das Update anzuwenden, das über Windows Update verfügbar ist. 

Häufig gestellte Fragen zum Aktualisieren

Ich verwende Windows 8.1, Windows Server 2012 R2 oder Windows RT 8.1. Warum wird mir das 3088195 Update nicht angeboten?
Um das 3088195 Sicherheitsupdate für Windows RT 8.1, Windows 8.1 und Windows Server 2012 R2 anbieten zu können, muss das 2919355 Update auf dem System installiert sein. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 2919355.

Schweregradbewertungen und Sicherheitslücken-IDs

Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung im Oktober.

Informationen zu Sicherheitsrisiken

Mehrere Sicherheitsrisiken für die Rechteerweiterung von Windows-Kerneln

Es gibt mehrere Rechteerweiterungsrisiken in der Art und Weise, wie der Windows-Kernel Objekte im Arbeitsspeicher verarbeitet. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausgenutzt hat, kann beliebigen Code im Kernelmodus ausführen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen.

Um die Sicherheitsanfälligkeiten auszunutzen, müsste sich ein Angreifer zuerst beim System anmelden. Ein Angreifer könnte dann eine speziell gestaltete Anwendung ausführen, die die Sicherheitsrisiken ausnutzen und die Kontrolle über ein betroffenes System übernehmen kann. Das Update behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie der Windows-Kernel Objekte im Arbeitsspeicher verarbeitet.

Mildernde Faktoren

Die folgenden mildernden Faktoren können in Ihrer Situation hilfreich sein:

• Ein Angreifer muss über gültige Anmeldeinformationen verfügen und sich lokal anmelden können, um CVE-2015-2554 auszunutzen.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Sicherheitsanfälligkeit bei vertrauenswürdigen Startsicherheitsfeatures – CVE-2015-2552

Eine Sicherheitsanfälligkeit bei der Umgehung von Sicherheitsfeatures ist vorhanden, wenn Windows die Windows-Richtlinie für den vertrauenswürdigen Start nicht ordnungsgemäß erzwingt. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte Codeintegritätsprüfungen deaktivieren, sodass signierte ausführbare Dateien und Treiber auf einem Zielgerät geladen werden können. Darüber hinaus könnte ein Angreifer die Überprüfung der vertrauenswürdigen Startintegrität für BitLocker- und Geräteverschlüsselungssicherheitsfeatures umgehen.

Ein Angreifer, der Administratorrechte erlangt hat oder physischen Zugriff auf ein Zielgerät hat, kann die Sicherheitsanfälligkeit ausnutzen, indem eine böswillig gestaltete Startkonfigurationsdaten -Einstellung (BCD) angewendet wird. Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem verbessert wird, wie Windows BCD analysiert.

Diese Sicherheitsanfälligkeit wurde öffentlich offengelegt. Sie wurde der Allgemeinen Sicherheitsrisiko- und Expositionsnummer CVE-2015-2552 zugewiesen. Zu dem Zeitpunkt, zu dem dieses Sicherheitsbulletin ursprünglich ausgestellt wurde, wusste Microsoft nicht, dass jeder Angriff versucht, diese Sicherheitsanfälligkeit auszunutzen.

Mildernde Faktoren

Die folgenden mildernden Faktoren können in Ihrer Situation hilfreich sein:

• Um die Sicherheitsanfälligkeit auszunutzen, muss ein Angreifer über Administratorrechte oder physischen Zugriff auf das Zielgerät verfügen.

Problemumgehungen

Die folgenden Problemumgehungen können in Ihrer Situation hilfreich sein:

• Konfigurieren von BitLocker für die Verwendung des Trusted Platform Module (TPM)+PIN-Schutzes
  Aktivieren Sie zum Aktivieren der TPM- und PIN-Schutzkomponente die erweiterte Schutzgruppenrichtlinie wie folgt:

  1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "gpedit.msc" ein, und klicken Sie dann auf "OK", um den Editor für lokale Gruppenrichtlinien zu öffnen.

  2. Navigieren Sie unter "Richtlinie für lokale Computer" zu den Administrativen Vorlagen > für BitLocker-Laufwerkverschlüsselungs-Betriebssystemlaufwerke >> .

  3. Doppelklicken Sie im rechten Bereich beim Start auf "Zusätzliche Authentifizierung erforderlich".

  4. Klicken Sie im daraufhin angezeigten Dialogfeld auf "Aktiviert".

  5. Wählen Sie unter "Optionen" die Option "TPM erforderlich" und "Start-PIN mit TPM anfordern" aus.

  6. Klicken Sie auf "Anwenden", und schließen Sie den Editor für lokale Gruppenrichtlinien.

  7. Öffnen Sie eine Eingabeaufforderung mit Administratorrechten, und geben Sie den folgenden Befehl ein:

     manage-bde -protectors -add c: <or os="OS" volume="volume" letter="letter">-tpmandpin
     

  8. Geben Sie eine PIN ein, wenn Sie dazu aufgefordert werden.

  9. Starten Sie das System neu.  

  Auswirkungen der Problemumgehung. Der Benutzer muss die PIN jedes Mal eingeben, wenn der Computer neu gestartet wird.

  Rückgängigmachen der Problemumgehung:

  1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "gpedit.msc" ein, und klicken Sie dann auf "OK", um den Editor für lokale Gruppenrichtlinien zu öffnen.

  2. Navigieren Sie unter "Richtlinie für lokale Computer" zu den Administrativen Vorlagen > für BitLocker-Laufwerkverschlüsselungs-Betriebssystemlaufwerke >> .

  3. Doppelklicken Sie im rechten Bereich beim Start auf "Zusätzliche Authentifizierung erforderlich".

  4. Klicken Sie im daraufhin angezeigten Dialogfeld auf "Aktiviert".

  5. Deaktivieren Sie unter "Optionen" die Option "TPM zulassen" und "Start-PIN mit TPM zulassen".

  6. Klicken Sie auf "Anwenden", und schließen Sie den Editor für lokale Gruppenrichtlinien.

  7. Öffnen Sie eine Eingabeaufforderung mit Administratorrechten, und geben Sie den folgenden Befehl ein:

     manage-bde -protectors -add c: -tpm
     

  8. Starten Sie das System neu.  

• Deaktivieren der Überprüfung der Integritätsüberprüfung für den sicheren Start von BitLocker
  Um die Überprüfung der Integrität des sicheren Starts zu deaktivieren, müssen Sie zunächst den BitLocker-Schutz vorübergehend anhalten. Führen Sie die folgenden Schritte in der angezeigten Reihenfolge aus:

  1. BitLocker-Schutz anhalten
     1. Öffnen Sie Systemsteuerung, klicken Sie auf "System und Sicherheit", und klicken Sie dann auf "BitLocker-Laufwerkverschlüsselung".
     2. Klicken Sie auf "Schutz anhalten", und klicken Sie dann auf "Ja", wenn Sie zur Bestätigung aufgefordert werden.
     3. Schließen Sie Systemsteuerung.
  2. Sicherer Start deaktivieren
     1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "gpedit.msc" ein, und klicken Sie dann auf "OK", um den Editor für lokale Gruppenrichtlinien zu öffnen.
     2. Navigieren Sie unter "Richtlinie für lokale Computer" zu den Administrativen Vorlagen > für BitLocker-Laufwerkverschlüsselungs-Betriebssystemlaufwerke >> .
     3. Doppelklicken Sie auf "Sicherer Start zulassen", um die Integritätsüberprüfung zu ermöglichen.
     4. Klicken Sie im daraufhin angezeigten Dialogfeld auf "Deaktiviert".
     5. Klicken Sie auf "Anwenden", und schließen Sie den Editor für lokale Gruppenrichtlinien.
  3. BitLocker-Schutz fortsetzen
     1. Öffnen Sie Systemsteuerung, klicken Sie auf "System und Sicherheit", und klicken Sie dann auf "BitLocker-Laufwerkverschlüsselung".
     2. Klicken Sie auf " Fortsetzen".
     3. Schließen Sie Systemsteuerung.  

  Auswirkungen der Problemumgehung. Das Deaktivieren der Überprüfung der Integrität der sicheren Startintegrität kann dazu führen, dass Systeme die BitLocker-Wiederherstellung häufiger eingeben, wenn Sie Firmwareversionen oder BCD-Einstellungen aktualisieren.

  Rückgängigmachen der Problemumgehung: 

  Um die Überprüfung der Integrität des sicheren Starts zu aktivieren, müssen Sie zunächst den BitLocker-Schutz vorübergehend anhalten. Führen Sie die folgenden Schritte in der angezeigten Reihenfolge aus:

  1. BitLocker-Schutz anhalten
     1. Öffnen Sie Systemsteuerung, klicken Sie auf "System und Sicherheit", und klicken Sie dann auf "BitLocker-Laufwerkverschlüsselung".
     2. Klicken Sie auf "Schutz anhalten", und klicken Sie dann auf "Ja", wenn Sie zur Bestätigung aufgefordert werden.
     3. Schließen Sie Systemsteuerung.
  2. Sicherer Start aktivieren
     1. Klicken Sie auf "Start", klicken Sie auf "Ausführen", geben Sie "gpedit.msc" ein, und klicken Sie dann auf "OK", um den Editor für lokale Gruppenrichtlinien zu öffnen.
     2. Navigieren Sie unter "Richtlinie für lokale Computer" zu den Administrativen Vorlagen > für BitLocker-Laufwerkverschlüsselungs-Betriebssystemlaufwerke >> .
     3. Doppelklicken Sie auf "Sicherer Start zulassen", um die Integritätsüberprüfung zu ermöglichen.
     4. Klicken Sie im daraufhin angezeigten Dialogfeld auf "Aktiviert".
     5. Klicken Sie auf "Anwenden", und schließen Sie den Editor für lokale Gruppenrichtlinien.
  3. BitLocker-Schutz fortsetzen
     1. Öffnen Sie Systemsteuerung, klicken Sie auf "System und Sicherheit", und klicken Sie dann auf "BitLocker-Laufwerkverschlüsselung".
     2. Klicken Sie auf " Fortsetzen".
     3. Schließen Sie Systemsteuerung.

Häufig gestellte Fragen zur Sicherheitsanfälligkeit

Wird der Integritätsnachweis (Device Health Attestation, DHA Report) erstellt, der von Microsoft Windows 10 Device Health Attestation Service (oder anderen lokalen oder Remotenachweislösungen, die TCG-Protokolle verarbeiten, z. B. PCPTool), von dieser Sicherheitsanfälligkeit betroffen ist?
Ja. Lokale und Remoteberichtsnachweislösungen, die Messungen verarbeiten, die von TPM TCG-Protokollen erfasst/protokolliert werden, sind von dieser Sicherheitsanfälligkeit betroffen. In einer zukünftigen Version wird Microsoft IT-Managern ermöglichen, diese Sicherheitsanfälligkeit remote mithilfe des Microsoft Device Health Attestation - Cloud Service zu erkennen.

Sicherheitsanfälligkeit in Windows Mount Point zur Erhöhung von Berechtigungen – CVE-2015-2553

Eine Erhöhung der Berechtigungslücke ist vorhanden, wenn Windows Verbindungen in bestimmten Szenarien, in denen Bereitstellungspunkte erstellt werden, nicht ordnungsgemäß überprüft. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann potenziell beliebigen Code im Sicherheitskontext des Benutzers ausführen, der eine kompromittierte Anwendung ausführt.

Um diese Sicherheitsanfälligkeit auszunutzen, müsste ein Angreifer wahrscheinlich eine andere Sicherheitsanfälligkeit nutzen, die es ihnen ermöglicht, beliebigen Code in einer Sandkastenanwendung auszuführen. Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Windows bestimmte Szenarien mit Verbindung und Bereitstellungspunkterstellung behandelt.

Diese Sicherheitsanfälligkeit wurde öffentlich offengelegt. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit und Sicherheitsanfälligkeit CVE-2015-2553 zugewiesen. Zu dem Zeitpunkt, zu dem dieses Sicherheitsbulletin ursprünglich ausgestellt wurde, wusste Microsoft nicht, dass jeder Angriff versucht, diese Sicherheitsanfälligkeit auszunutzen.

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (13. Oktober 2015): Bulletin veröffentlicht.
• V1.1 (16. Oktober 2015): Bulletin überarbeitet, um eine Erkennungsänderung im kumulativen Update 3097617 für Windows 10 bekannt zu geben. Dies ist nur eine Erkennungsänderung. Kunden, die ihre Systeme bereits erfolgreich aktualisiert haben, müssen keine Maßnahmen ergreifen.
• V1.2 (29. Oktober 2015): Bulletin überarbeitet, um eine Erkennungsänderung im 3088195 Update für alle unterstützten Editionen von Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows RT, Windows 8.1, Windows Server 2012 R2 und Windows RT 8.1 anzukündigen. Die Erkennungsänderung blockiert vorübergehend die Bereitstellung des 3088195-Updates auf Systemen, die eine bestimmte Version von USB-Blockersoftware ausführen, die mit dem Update nicht kompatibel ist. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 3088195. Hinweis: Dies ist nur eine Erkennungsänderung. Kunden, die ihre Systeme bereits erfolgreich aktualisiert haben, müssen keine Maßnahmen ergreifen.

Seite generiert 2015-10-29 10:06-07:00.