Microsoft Security Bulletin MS16-039 – Kritisch

Sicherheitsupdate für Microsoft Graphics Component (3148522)

Veröffentlicht: 12. April 2016 | Aktualisiert: 10. April 2018

Version: 5.0

Kurzfassung

Dieses Sicherheitsupdate behebt Sicherheitsrisiken in Microsoft Windows, Microsoft .NET Framework, Microsoft Office, Skype for Business und Microsoft Lync. Die schwerwiegendsten Sicherheitsrisiken könnten die Remotecodeausführung ermöglichen, wenn ein Benutzer ein speziell gestaltetes Dokument öffnet oder eine Webseite besucht, die speziell gestaltete eingebettete Schriftarten enthält.

Dieses Sicherheitsupdate ist als kritisch eingestuft für:

• Alle unterstützten Versionen von Microsoft Windows
• Betroffene Versionen von Microsoft .NET Framework auf allen unterstützten Versionen von Microsoft Windows
• Betroffene Editionen von Skype for Business 2016, Microsoft Lync 2013 und Microsoft Lync 2010

Dieses Sicherheitsupdate ist für alle betroffenen Editionen von Microsoft Office 2007 und Microsoft Office 2010 als wichtig eingestuft.

Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie die Windows-Schriftartbibliothek eingebettete Schriftarten verarbeitet. Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt "Sicherheitsrisikoinformationen ".

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3148522.

Schweregradbewertungen betroffener Software und Sicherheitsrisiken

Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Die für jede betroffene Software angegebenen Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, finden Sie im Bulletinzusammenfassung vom April den Exploitability Index.

Microsoft Windows

^[1]Dieses Update ist nur über Windows Update verfügbar.

^[2]Windows 10-Updates sind kumulativ. Die monatliche Sicherheitsversion enthält alle Sicherheitsupdates für Sicherheitsrisiken, die sich auf Windows 10 sowie nicht sicherheitsrelevante Updates auswirken. Die Updates sind über den Microsoft Update-Katalog verfügbar.

Hinweis: Windows Server 2016 Technical Preview 4 und Windows Server 2016 Technical Preview 5 sind betroffen. Kunden, die diese Betriebssysteme ausführen, werden ermutigt, das Update anzuwenden, das über Windows Update verfügbar ist.

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in jeder Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der UPDATE-KB-Nummer, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen finden Sie auf der Registerkarte "Paketdetails").

Microsoft Office

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in jeder Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der UPDATE-KB-Nummer, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen finden Sie auf der Registerkarte "Paketdetails").

Nicht angegebener Formatierungsfehler.

Microsoft .NET Framework

^[1]Windows 10-Updates sind kumulativ. Die monatliche Sicherheitsversion enthält alle Sicherheitsupdates für Sicherheitsrisiken, die sich auf Windows 10 sowie nicht sicherheitsrelevante Updates auswirken. Die Updates sind über den Microsoft Update-Katalog verfügbar.

Hinweis: Windows Server 2016 Technical Preview 4 und Windows Server 2016 Technical Preview 5 sind betroffen. Kunden, die diese Betriebssysteme ausführen, werden ermutigt, das Update anzuwenden, das über Windows Update verfügbar ist.

Microsoft Communications Platforms and Software

^[1]Bevor Sie dieses Update installieren, müssen Sie update 2965218 und Sicherheitsupdate 3039779 installiert haben. Weitere Informationen finden Sie in den häufig gestellten Fragen zu Updates.

^[2]Dieses Update ist nur im Microsoft Download Center verfügbar.

^[3]Ein Update für das Konferenz-Add-In für Microsoft Office Outlook ist ebenfalls verfügbar. Weitere Informationen und Downloadlinks finden Sie unter "Herunterladen des Konferenz-Add-Ins für Microsoft Office Outlook".

*Die Spalte "Updates ersetzt" zeigt nur das neueste Update in einer Kette von abgelösten Updates an. Um eine umfassende Liste der ersetzten Updates zu erhalten, wechseln Sie zum Microsoft Update-Katalog, suchen Sie nach der KB-Nummer des Updates, und zeigen Sie dann Updatedetails an (Updates ersetzte Informationen befinden sich auf der Registerkarte "Paketdetails ").

Häufig gestellte Fragen zum Aktualisieren

Enthält dieses Update zusätzliche sicherheitsrelevante Änderungen an Funktionen?  Zusätzlich zu den Änderungen, die für die in diesem Bulletin beschriebenen Sicherheitsrisiken aufgeführt sind, enthält dieses Update ausführliche Updates zur Verbesserung sicherheitsrelevanter Features.

Ich verwende Office 2010, das als betroffene Software aufgeführt ist. Warum wird das Update nicht angeboten?
Das Update gilt nicht für Office 2010 unter Windows Vista und höheren Versionen von Windows, da der anfällige Code nicht vorhanden ist.

Ich werde dieses Update für Software angeboten, die nicht speziell als betroffen in der Tabelle "Betroffene Software und Bewertungen des Schweregrads der Sicherheitsanfälligkeit" angegeben ist. Warum wird dieses Update angeboten?
Wenn Updates anfälligen Code behandeln, der in einer Komponente vorhanden ist, die zwischen mehreren Microsoft Office-Produkten oder zwischen mehreren Versionen desselben Microsoft Office-Produkts gemeinsam genutzt wird, gilt das Update als für alle unterstützten Produkte und Versionen, die die anfällige Komponente enthalten.

Wenn beispielsweise ein Update für Microsoft Office 2007-Produkte gilt, kann nur Microsoft Office 2007 in der Tabelle "Betroffene Software" aufgeführt sein. Das Update kann jedoch auf Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer oder ein anderes Microsoft Office 2007-Produkt angewendet werden, das nicht speziell in der Tabelle "Betroffene Software" aufgeführt ist. Wenn ein Update für Microsoft Office 2010-Produkte gilt, kann nur Microsoft Office 2010 speziell in der Tabelle "Betroffene Software" aufgeführt werden. Das Update kann jedoch auf Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer oder ein anderes Microsoft Office 2010-Produkt angewendet werden, das nicht ausdrücklich in der Tabelle "Betroffene Software" aufgeführt ist.

Weitere Informationen zu diesem Verhalten und empfohlenen Aktionen finden Sie im Microsoft Knowledge Base-Artikel 830335. Eine Liste der Microsoft Office-Produkte, auf die ein Update angewendet werden kann, finden Sie im Microsoft Knowledge Base-Artikel, der dem jeweiligen Update zugeordnet ist.

Gibt es Voraussetzungen für alle in diesem Bulletin angebotenen Updates für betroffene Editionen von Microsoft Lync 2013 (Skype for Business)?
Ja. Kunden, die betroffene Editionen von Microsoft Lync 2013 (Skype for Business) ausführen, müssen zuerst das im April 2015 veröffentlichte 2965218 Update für Office 2013 und dann das im Mai 2015 veröffentlichte 3039779 Sicherheitsupdate installieren. Weitere Informationen zu diesen beiden erforderlichen Updates finden Sie unter:

• https:
• Knowledge Base-Artikel 3039779

Gibt es verwandte nicht sicherheitsrelevante Updates, die Kunden zusammen mit dem Sicherheitsupdate der Microsoft Live Meeting Console installieren sollten?
Ja, zusätzlich zur Veröffentlichung eines Sicherheitsupdates für die Microsoft Live Meeting Console hat Microsoft die folgenden nicht sicherheitsrelevanten Updates für das OCS-Konferenz-Add-In für Outlook veröffentlicht. Gegebenenfalls empfiehlt Microsoft, dass Kunden diese Updates installieren, um ihre Systeme auf dem neuesten Stand zu halten:

• OCS-Konferenz-Add-In für Outlook (32-Bit) (3144431)
• OCS-Konferenz-Add-In für Outlook (64-Bit) (3144431)

Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 3144431 .

Warum ist das Update für Lync 2010 Attendee (Installation auf Benutzerebene) nur im Microsoft Download Center verfügbar?
Microsoft veröffentlicht das Update nur für Lync 2010 Attendee (Installation auf Benutzerebene) im Microsoft Download Center . Da die Installation von Lync 2010 Attendee auf Benutzerebene über eine Lync-Sitzung behandelt wird, sind Verteilungsmethoden wie automatische Aktualisierungen für diese Art von Installationsszenario nicht geeignet.

Informationen zu Sicherheitsrisiken

Mehrere Win32k-Rechteerweiterungen

Rechteerweiterungen sind vorhanden, wenn der Windows-Kernelmodustreiber Objekte im Arbeitsspeicher nicht ordnungsgemäß verarbeitet. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausgenutzt hat, kann beliebigen Code im Kernelmodus ausführen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen.

Um die Sicherheitsanfälligkeiten auszunutzen, müsste sich ein Angreifer zuerst beim System anmelden. Ein Angreifer könnte dann eine speziell gestaltete Anwendung ausführen, die die Sicherheitsrisiken ausnutzen und die Kontrolle über ein betroffenes System übernehmen kann. Das Update behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie der Windows-Kernelmodustreiber Objekte im Arbeitsspeicher verarbeitet.

Die folgenden Tabellen enthalten Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsanfälligkeiten und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Sicherheitsanfälligkeit in Grafikspeicherbeschädigung – CVE-2016-0145

Eine Sicherheitsanfälligkeit in Remotecodeausführung ist vorhanden, wenn die Windows-Schriftartbibliothek speziell gestaltete eingebettete Schriftarten nicht ordnungsgemäß verarbeitet. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, konnte Programme installieren; Daten anzeigen, ändern oder löschen; oder erstellen Sie neue Konten mit vollständigen Benutzerrechten.

Es gibt mehrere Möglichkeiten, wie ein Angreifer die Sicherheitsanfälligkeit ausnutzen kann, z. B. indem er einen Benutzer zum Öffnen eines speziell gestalteten Dokuments überzeugen oder einen Benutzer dazu überzeugen kann, eine nicht vertrauenswürdige Webseite zu besuchen, die eingebettete Schriftarten enthält. Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie die Windows-Schriftartbibliothek eingebettete Schriftarten behandelt.

Die folgenden Tabellen enthalten Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsanfälligkeiten und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (12. April 2016): Bulletin veröffentlicht.
• V2.0 (19. April 2016): Um CVE-2016-0145 umfassend zu adressieren, veröffentlicht Microsoft Sicherheitsupdate 3144432 für betroffene Editionen von Microsoft Live Meeting 2007 Console. Kunden, die Microsoft Live Meeting 2007 Console ausführen, sollten das Update installieren, um vollständig vor der Sicherheitsanfälligkeit geschützt zu sein. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 3144432 .
• V3.0 (14. Juni 2016): Microsoft hat Sicherheitsupdate 3144427 für betroffene Editionen von Microsoft Lync 2010 und Microsoft Lync 2010 Attendee erneut veröffentlicht. Die Erneute Veröffentlichung behebt Probleme, die Kunden möglicherweise beim Herunterladen von Sicherheitsupdates 3144427 erfahren haben. Kunden, die Microsoft Lync 2010 ausführen, sollten das Update installieren, um vollständig vor der Sicherheitsanfälligkeit geschützt zu sein. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 3144427 .
• V4.0 (12. September 2017): Die Betroffene Softwaretabelle von Microsoft Windows wurde überarbeitet, um Windows 10 Version 1703 für 32-Bit-Systeme und Windows 10 Version 1703 für x64-basierte Systeme einzuschließen, da sie von CVE-2016-0165 betroffen sind. Verbraucher, die Windows 10 ausführen, werden automatisch geschützt. Microsoft empfiehlt Unternehmenskunden, die Windows 10 Version 1703 ausführen, sicherzustellen, dass updates 4038788 installiert sind, um vor dieser Sicherheitsanfälligkeit geschützt zu sein.
• V5.0 (10. April 2018): Die Betroffene Softwaretabelle von Microsoft Windows wurde überarbeitet, um Windows 10 Version 1709 für 32-Bit-Systeme und Windows 10 Version 1709 für x64-basierte Systeme einzuschließen, da sie von CVE-2016-0143 betroffen sind. Microsoft empfiehlt dringend, dass Kunden die Updates installieren, um vollständig vor der Sicherheitsanfälligkeit geschützt zu sein. Kunden, deren Systeme für den Empfang automatischer Updates konfiguriert sind, müssen keine weiteren Maßnahmen ergreifen.

Seite generiert 2016-06-13 16:43-07:00. </https:>