Microsoft Security Bulletin MS14-080 – Kritisch

Kumulatives Sicherheitsupdate für Internet Explorer (3008923)

Veröffentlicht: 9. Dezember 2014 | Aktualisiert: 14. April 2015

Version: 3.0

Kurzfassung

Dieses Sicherheitsupdate behebt vierzehn privat gemeldete Sicherheitsrisiken in Internet Explorer. Die schwerwiegendsten dieser Sicherheitsanfälligkeiten könnten remotecodeausführung zulassen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Ein Angreifer, der diese Sicherheitsrisiken erfolgreich ausgenutzt hat, könnte dieselben Benutzerrechte wie der aktuelle Benutzer erhalten. Kunden, deren Konten so konfiguriert sind, dass sie weniger Benutzerrechte auf dem System haben, können weniger betroffen sein als die Benutzerrechte, die mit Administratorrechten arbeiten.

Dieses Sicherheitsupdate wird für Internet Explorer 6 (IE 6), Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) und Internet Explorer 11 (IE 11) auf betroffenen Windows-Clients bewertet. und Moderat für Internet Explorer 6 (IE 6), Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) und Internet Explorer 11 (IE 11) auf betroffenen Windows-Servern. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem die Art und Weise geändert wird, wie Internet Explorer Objekte im Arbeitsspeicher verarbeitet, indem verhindert wird, dass der XSS-Filter in Internet Explorer HTML-Attribute falsch deaktiviert, indem sichergestellt wird, dass betroffene Versionen von Internet Explorer das ASLR-Sicherheitsfeature ordnungsgemäß implementieren und ändern, wie das VBScript-Skriptmodul Objekte im Arbeitsspeicher verarbeitet. Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt "Sicherheitsrisikoinformationen ".

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3008923.

Betroffene Software

Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Betroffene Software 

^[1]Kunden, die Internet Explorer 10 unter Windows 8, Windows Server 2012 oder Window RT ausführen, sollten beide Updates (3008923 und 3029449) installieren.

^[2]Dieses Update ist über Windows Update verfügbar.

Hinweis Für Systeme, auf denen Internet Explorer 9 oder höher ausgeführt wird, wird CVE-2014-6363 durch dieses Update behoben (3008923). Für alle anderen betroffenen Versionen von Internet Explorer wird CVE-2014-6363 durch das in MS14-084 beschriebene Update behoben. Weitere Informationen finden Sie in den häufig gestellten Fragen zu Updates.

Hinweis: Windows Technical Preview und Windows Server Technical Preview sind betroffen. Kunden, die diese Betriebssysteme ausführen, werden ermutigt, das Update anzuwenden, das über Windows Update verfügbar ist. 

Häufig gestellte Fragen zum Aktualisieren

Für die Adressierung von CVE-2014-6363 gilt das Update für mein System?
CVE-2014-6363 ist eine Sicherheitsanfälligkeit im VBScript-Skriptmodul. Obwohl der Angriffsvektor über Internet Explorer erfolgt, wird diese Sicherheitsanfälligkeit durch dieses Update (3008923) nur für Systeme behoben, auf denen Internet Explorer 9, Internet Explorer 10 und Internet Explorer 11 ausgeführt werden. Für Internet Explorer 8 und früher und für Systeme, auf die Internet Explorer nicht installiert ist, wird diese Sicherheitsanfälligkeit durch das in MS14-084 beschriebene Update behoben.

Das Update, das CVE-2014-6363 behebt, hängt von der Version des VBScript-Skriptmoduls ab, das auf Ihrem System installiert ist. Weitere Informationen finden Sie in der folgenden Tabelle.

Schweregradbewertungen und Sicherheitslücken-IDs

Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung im Dezember.

In der folgenden Tabelle "Where specified", "Critical", "Important" und "Moderate" werden die Bewertungen des Schweregrads angegeben. Weitere Informationen finden Sie unter Security Bulletin Severity Rating System. Wenn angegeben, weisen die Abkürzungen wie im folgenden Schlüssel gezeigt die maximale Auswirkung auf:

Bewertungen und Auswirkungen des Schweregrads

Informationen zu Sicherheitsrisiken

Mehrere Speicherbeschädigungsrisiken in Internet Explorer

Remotecodeausführungsrisiken sind vorhanden, wenn Internet Explorer nicht ordnungsgemäß auf Objekte im Arbeitsspeicher zugreift. Diese Sicherheitsrisiken könnten den Speicher so beschädigen, dass ein Angreifer beliebigen Code im Kontext des aktuellen Benutzers ausführen kann. Das Update behebt die Sicherheitsanfälligkeiten, indem die Art und Weise geändert wird, wie Internet Explorer Objekte im Arbeitsspeicher verarbeitet.

Ein Angreifer könnte eine speziell gestaltete Website hosten, die diese Sicherheitsanfälligkeiten über Internet Explorer ausnutzen soll, und dann einen Benutzer davon überzeugen, die Website anzuzeigen. Der Angreifer könnte auch kompromittierte Websites und Websites nutzen, die vom Benutzer bereitgestellte Inhalte oder Werbung akzeptieren oder hosten, indem speziell gestaltete Inhalte hinzugefügt werden, die diese Sicherheitsrisiken ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zu zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen müsste ein Angreifer die Benutzer davon überzeugen, maßnahmen zu ergreifen, in der Regel durch Klicken auf einen Link in einer E-Mail-Nachricht oder in einer Instant Messenger-Nachricht, die Benutzer zur Website des Angreifers führt, oder indem er sie zum Öffnen einer Anlage über E-Mail erhält.

Ein Angreifer, der diese Sicherheitsrisiken erfolgreich ausgenutzt hat, könnte dieselben Benutzerrechte wie der aktuelle Benutzer erhalten. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsrisiken erfolgreich ausgenutzt hat, die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Systeme, bei denen Internet Explorer häufig verwendet wird, z. B. Arbeitsstationen oder Terminalserver, sind am meisten gefährdet von diesen Sicherheitsrisiken.

Das Update behebt die Sicherheitsanfälligkeiten, indem die Art und Weise geändert wird, wie Internet Explorer Objekte im Arbeitsspeicher verarbeitet.

Die folgende Tabelle enthält Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Häufig gestellte Fragen

Ich verwende Internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 oder Windows Server 2012 R2. Mindert dies diese Sicherheitsrisiken? 
Ja. Internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 und Windows Server 2012 R2 wird standardmäßig in einem eingeschränkten Modus ausgeführt, der als erweiterte Sicherheitskonfiguration bezeichnet wird. Die erweiterte Sicherheitskonfiguration ist eine Gruppe von vorkonfigurierten Einstellungen in Internet Explorer, die die Wahrscheinlichkeit verringern kann, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einem Server herunterladen und ausführen kann. Dies ist ein mildernder Faktor für Websites, die Sie der Zone "Vertrauenswürdige Websites von Internet Explorer" nicht hinzugefügt haben.

Hilft EMET, Angriffe zu mindern, die versuchen könnten, diese Sicherheitsrisiken auszunutzen? 
Ja. Mit dem Enhanced Mitigation Experience Toolkit (EMET) können Benutzer Technologien zur Sicherheitsminderung verwalten, die Es Angreifern erleichtern, Sicherheitsrisiken in einem bestimmten Softwareteil auszunutzen. EMET trägt dazu bei, diese Sicherheitsrisiken in Internet Explorer auf Systemen zu minimieren, auf denen EMET installiert und für die Arbeit mit Internet Explorer konfiguriert ist.

Weitere Informationen zu EMET finden Sie im Enhanced Mitigation Experience Toolkit.

Mehrere XSS-Filterumgehungsrisiken in Internet Explorer

XSS-Filterumgehungsrisiken bestehen in der Weise, wie Internet Explorer ein HTML-Attribut in andernfalls entsprechend gefilterten HTTP-Antwortdaten deaktiviert. Die Sicherheitsanfälligkeiten könnten es anfänglich deaktivierten Skripts ermöglichen, im falschen Sicherheitskontext ausgeführt zu werden, was zu einer Offenlegung von Informationen führt.

Ein Angreifer könnte auf einer Website speziell gestaltete Inhalte veröffentlichen, die darauf ausgelegt sind, diese Sicherheitsanfälligkeit auszunutzen. Der Angreifer müsste dann den Benutzer davon überzeugen, den Inhalt auf der betroffenen Website anzuzeigen. Wenn der Benutzer dann zur Website naviziert, deaktiviert der XSS-Filter HTML-Attribute in den speziell gestalteten Inhalten, wodurch eine Bedingung erstellt wird, die das Ausführen bösartiger Skripts im falschen Sicherheitskontext ermöglichen könnte, was zu einer Offenlegung von Informationen führt.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte dazu führen, dass Skriptcode auf dem System eines anderen Benutzers in der Gestalt einer Drittanbieterwebsite ausgeführt wird. Ein solcher Skriptcode würde innerhalb des Browsers ausgeführt, wenn er die Website des Drittanbieters aufruft, und kann jede Aktion auf dem System des Benutzers ergreifen, die von der Drittanbieterwebsite ausgeführt werden dürfen. Die Sicherheitsanfälligkeit konnte nur ausgenutzt werden, wenn der Benutzer auf einen Hypertextlink geklickt hat, entweder in einer HTML-E-Mail oder wenn der Benutzer die Website eines Angreifers oder eine Website besucht hat, die Inhalte enthält, die sich unter der Kontrolle des Angreifers befinden. Alle Systeme, auf denen Internet Explorer häufig verwendet wird, z. B. Arbeitsstationen und Terminalserver, sind am meisten gefährdet von dieser Sicherheitsanfälligkeit.

Das Update behebt die Sicherheitsanfälligkeit, indem verhindert wird, dass der XSS-Filter in Internet Explorer HTML-Attribute falsch deaktiviert.

Die folgende Tabelle enthält Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Sicherheitsanfälligkeit in Internet Explorer ASLR – CVE-2014-6368

Eine Sicherheitsanfälligkeit bei der Umgehung von Sicherheitsfeatures ist vorhanden, wenn Internet Explorer das AsLR-Sicherheitsfeature (Address Space Layout Randomization) nicht verwendet, sodass ein Angreifer die Speicherversatzungen bestimmter Anweisungen in einem bestimmten Aufrufstapel zuverlässiger vorhersagen kann. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte das ASLR-Sicherheitsfeature (Address Space Layout Randomization) umgehen, das Benutzer vor einer breiten Sicherheitsklasse schützt. Die Umgehung von Sicherheitsfeatures allein lässt keine willkürliche Codeausführung zu. Ein Angreifer könnte diese ASLR-Umgehungslücke jedoch in Verbindung mit einer anderen Sicherheitsanfälligkeit verwenden, z. B. eine Sicherheitslücke zur Remotecodeausführung, die die ASLR-Umgehung nutzen könnte, um beliebigen Code auszuführen. Beispielsweise könnte eine Sicherheitsanfälligkeit in Remotecodeausführung, die von ASLR blockiert wird, nach einer erfolgreichen ASLR-Umgehung ausgenutzt werden.

In einem Webbrowsenszenario erfordert die erfolgreiche Nutzung dieser Sicherheitsanfälligkeit, dass ein Benutzer angemeldet ist und eine betroffene Version von Internet Explorer ausführt. Daher sind alle Systeme, bei denen ein Webbrowser häufig verwendet wird, z. B. Arbeitsstationen oder Terminalserver, am meisten gefahrlos von dieser Sicherheitsanfälligkeit. Server sind möglicherweise riskanter, wenn Administratoren Benutzern erlauben, E-Mails auf Servern zu durchsuchen und zu lesen. Bewährte Methoden raten jedoch dringend davon ab, dies zuzulassen.

Das Update behebt die Sicherheitsanfälligkeit, indem sichergestellt wird, dass betroffene Versionen von Internet Explorer das ASLR-Sicherheitsfeature ordnungsgemäß implementieren.

Die folgende Tabelle enthält Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Sicherheitsanfälligkeit in VBScript bezüglich Speicherbeschädigung – CVE-2014-6363

Eine Sicherheitsanfälligkeit in Remotecodeausführung besteht in der Art und Weise, wie das VBScript-Modul beim Rendern in Internet Explorer Objekte im Arbeitsspeicher behandelt. Die Sicherheitsanfälligkeit kann den Speicher so beschädigen, dass ein Angreifer beliebigen Code im Kontext des aktuellen Benutzers ausführen kann.

Ein Angreifer könnte eine speziell gestaltete Website hosten, die darauf ausgelegt ist, diese Sicherheitsanfälligkeit über Internet Explorer auszunutzen, und dann einen Benutzer davon überzeugen, die Website anzuzeigen. Ein Angreifer könnte auch ein ActiveX-Steuerelement einbetten, das als "sicher für die Initialisierung" gekennzeichnet ist, in eine Anwendung oder ein Microsoft Office-Dokument, das das IE-Renderingmodul hostet. Der Angreifer könnte auch kompromittierte Websites und Websites nutzen, die vom Benutzer bereitgestellte Inhalte oder Werbung akzeptieren oder hosten, indem sie speziell gestaltete Inhalte hinzufügen, die diese Sicherheitsanfälligkeit ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zu zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen müsste ein Angreifer benutzer davon überzeugen, Maßnahmen zu ergreifen, in der Regel durch Klicken auf einen Link in einer E-Mail-Nachricht oder in einer Instant Messenger-Nachricht, die Benutzer zur Website des Angreifers führt, oder indem er eine Anlage öffnet, die per E-Mail gesendet wurde.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte dieselben Benutzerrechte wie der aktuelle Benutzer erlangen. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Systeme, auf denen Internet Explorer häufig verwendet wird, z. B. Arbeitsstationen oder Terminalserver, sind am meisten gefährdet von dieser Sicherheitsanfälligkeit.

Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie das VBScript-Skriptmodul Objekte im Arbeitsspeicher verarbeitet.

Die folgende Tabelle enthält Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Häufig gestellte Fragen

**Ich verwende Internet Explorer für Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 oder Windows Server 2012 R2. Entschärft dies diese Sicherheitsanfälligkeit? 
**Ja. Internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 und Windows Server 2012 R2 wird standardmäßig in einem eingeschränkten Modus ausgeführt, der als erweiterte Sicherheitskonfiguration bezeichnet wird. Die erweiterte Sicherheitskonfiguration ist eine Gruppe von vorkonfigurierten Einstellungen in Internet Explorer, die die Wahrscheinlichkeit verringern kann, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einem Server herunterladen und ausführen kann. Dies ist ein mildernder Faktor für Websites, die Sie der Zone "Vertrauenswürdige Websites von Internet Explorer" nicht hinzugefügt haben.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (9. Dezember 2014): Bulletin veröffentlicht.
• V2.0 (13. Januar 2015): Um Probleme mit Sicherheitsupdates 3008923 zu beheben, hat Microsoft MS14-080 erneut veröffentlicht, um CVE-2014-6363 umfassend zu beheben. Neben der Installation von Update-3008923 sollten Kunden, die Internet Explorer 10 unter Windows 8, Windows Server 2012 oder Window RT ausführen, auch Update-3029449 installieren, die mit dieser erneuten Aktualisierung hinzugefügt wurde. Kunden, die das 3008923-Update bereits erfolgreich installiert haben, das sich seit der ursprünglichen Version nicht geändert hat, müssen es nicht erneut installieren. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 3008923 .
• V3.0 (14. April 2015): Um Probleme mit dem 3008923 Sicherheitsupdate umfassend zu beheben, sollten Kunden, die Internet Explorer 11 unter Windows 7 oder Windows Server 2008 R2 ausführen, auch das 3038314 Sicherheitsupdate installieren, das am 14. April 2015 veröffentlicht wurde. Weitere Informationen finden Sie unter MS15-032 , oder verwenden Sie die folgenden Microsoft Download Center-Links für Ihre spezifische Konfiguration:
  • Internet Explorer 11 unter Windows 7 für 32-Bit-Systeme (3038314)
  • Internet Explorer 11 unter Windows 7 für x64-basierte Systeme Service Pack 1 (3038314)
  • Internet Explorer 11 unter Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (3038314)

Seite generiert 2015-04-09 15:17Z-07:00.