Sicherheitsbulletin

Microsoft Security Bulletin MS13-022 – Kritisch

Sicherheitsanfälligkeit in Silverlight kann Remotecodeausführung ermöglichen (2814124)

Veröffentlicht: 12. März 2013 | Aktualisiert: 03. April 2013

Version: 1.2

Allgemeine Informationen

Kurzfassung

Dieses Sicherheitsupdate behebt ein vertraulich gemeldetes Sicherheitsrisiko in Microsoft Silverlight. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Angreifer eine Website hostet, die eine speziell gestaltete Silverlight-Anwendung enthält, die diese Sicherheitsanfälligkeit ausnutzen könnte und dann einen Benutzer davon überzeugt, die Website anzuzeigen. Der Angreifer könnte auch kompromittierte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Werbung akzeptieren oder hosten. Solche Websites könnten speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zum Besuch einer Website zu zwingen. Stattdessen müsste ein Angreifer Benutzer davon überzeugen, eine Website zu besuchen, in der Regel, indem er sie dazu bringt, auf einen Link in einer E-Mail-Nachricht oder in einer Instant Messenger-Nachricht zu klicken, die sie zur Website des Angreifers führt. Es kann auch möglich sein, speziell gestaltete Webinhalte mithilfe von Bannerwerbung oder mit anderen Methoden anzuzeigen, um Webinhalte an betroffene Systeme bereitzustellen.

Dieses Sicherheitsupdate wird für Microsoft Silverlight 5 und Microsoft Silverlight 5 Developer Runtime als kritisch eingestuft, wenn es unter Mac und allen unterstützten Versionen von Microsoft Windows installiert ist. Weitere Informationen finden Sie im Unterabschnitt Betroffene und nicht betroffene Software in diesem Abschnitt. Das Sicherheitsupdate behebt dieses Sicherheitsrisiko, indem korrigiert wird, wie Microsoft Silverlight Speicherzeiger beim Rendern von HTML-Objekten überprüft. Weitere Informationen zu der Sicherheitsanfälligkeit finden Sie im Unterabschnitt Häufig gestellte Fragen (FAQ) für den spezifischen Sicherheitsrisikoeintrag im nächsten Abschnitt Informationen zu Sicherheitsrisiken.

Das Sicherheitsupdate behebt das Sicherheitsrisiko, indem es frühere Versionen von Silverlight auf Silverlight-Version 5.1.20125.0 aktualisiert, die die erste Version von Silverlight 5 ist, die nicht von der Sicherheitsanfälligkeit betroffen ist. Weitere Informationen zu diesem Sicherheitsrisiko finden Sie im Unterabschnitt Häufig gestellte Fragen (FAQ) im nächsten Abschnitt Informationen zu Sicherheitsrisiken.

Empfehlung. Die meisten Kunden haben die automatische Aktualisierung aktiviert und müssen keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Kunden, die die automatische Aktualisierung nicht aktiviert haben, müssen nach Updates suchen und dieses Update manuell installieren. Informationen zu bestimmten Konfigurationsoptionen bei automatischen Updates finden Sie im Microsoft Knowledge Base-Artikel 294871.

Für Administratoren und Unternehmensinstallationen oder Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, dass Kunden das Update sofort mithilfe der Updateverwaltungssoftware oder mithilfe des Microsoft Update-Diensts auf Updates anwenden.

Weitere Informationen finden Sie im Abschnitt Erkennungs- und Bereitstellungstools und Anleitungen weiter unten in diesem Bulletin.

Knowledge Base-Artikel

Knowledge Base-Artikel	2814124
Dateiinformationen	Ja
SHA1/SHA2-Hashes	Ja
Bekannte Probleme	Ja

Betroffene und nicht betroffene Software

Die folgende Software wurde getestet, um festzustellen, welche Versionen oder Editionen betroffen sind. Andere Versionen oder Editionen haben entweder ihren Supportlebenszyklus hinter sich oder sind nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder Edition finden Sie unter Microsoft-Support Lifecycle.

Microsoft-Entwicklertools und -software

Betriebssystem	Maximale Sicherheitsbeeinträchtigung	Bewertung des Aggregierten Schweregrads	Updates ersetzt
Microsoft Silverlight 5
Microsoft Silverlight 5 bei Installation auf Mac (2814124)	Codeausführung von Remotestandorten	Kritisch	2636927 in MS12-034
Microsoft Silverlight 5 Developer Runtime bei Installation auf Mac (2814124)	Codeausführung von Remotestandorten	Kritisch	2636927 in MS12-034
Microsoft Silverlight 5 bei Installation auf allen unterstützten Versionen von Microsoft Windows-Clients (2814124)	Codeausführung von Remotestandorten	Kritisch	2636927 in MS12-034
Microsoft Silverlight 5 Developer Runtime bei Installation auf allen unterstützten Versionen von Microsoft Windows-Clients (2814124)	Codeausführung von Remotestandorten	Kritisch	2636927 in MS12-034
Microsoft Silverlight 5 bei Installation auf allen unterstützten Versionen von Microsoft Windows-Servern (2814124)	Codeausführung von Remotestandorten	Kritisch	2636927 in MS12-034
Microsoft Silverlight 5 Developer Runtime bei Installation auf allen unterstützten Versionen von Microsoft Windows-Servern (2814124)	Codeausführung von Remotestandorten	Kritisch	2636927 in MS12-034

** **

Häufig gestellte Fragen zum Aktualisieren

Welche Webbrowser unterstützen Microsoft Silverlight-Anwendungen?  Um Microsoft Silverlight-Anwendungen ausführen zu können, müssen die meisten Webbrowser, einschließlich Microsoft Internet Explorer, Microsoft Silverlight installiert und das entsprechende Plug-In aktiviert sein. Weitere Informationen zu Microsoft Silverlight finden Sie auf der offiziellen Website Microsoft Silverlight. Weitere Informationen zum Deaktivieren oder Entfernen von Plug-Ins finden Sie in der Dokumentation Ihres Browsers.

Welche Versionen von Microsoft Silverlight 5 sind von der Sicherheitsanfälligkeit betroffen?  Microsoft Silverlight-Build 5.1.20125.0, der aktuelle Build von Microsoft Silverlight zum Zeitpunkt der ersten Veröffentlichung dieses Bulletins, behebt das Sicherheitsrisiko und ist nicht betroffen. Builds von Microsoft Silverlight vor 5.1.20125.0 sind betroffen.

Gewusst wie wissen, welche Version und welcher Build von Microsoft Silverlight derzeit auf meinem System installiert ist?
Wenn Microsoft Silverlight bereits auf Ihrem Computer installiert ist, können Sie die Seite Microsoft Silverlight abrufen besuchen, die angibt, welche Version und welcher Build von Microsoft Silverlight derzeit auf Ihrem System installiert ist. Alternativ können Sie das Feature Verwalten Add-Ons aktueller Versionen von Microsoft Internet Explorer verwenden, um die Version und die Buildinformationen zu ermitteln, die derzeit auf Ihrem System installiert sind.

Sie können auch manuell die Versionsnummer von sllauncher.exe überprüfen, die sich im Verzeichnis "%ProgramFiles%\Microsoft Silverlight" (auf x86 Microsoft Windows-Systemen) oder im Verzeichnis "%ProgramFiles(x86)%\Microsoft Silverlight" (auf x64 Microsoft Windows-Systemen) befinden.

Darüber hinaus finden Sie unter Microsoft Windows die Versions- und Buildinformationen der aktuell installierten Version von Microsoft Silverlight in der Registrierung unter [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight]:Version unter x86 Microsoft Windows-Systemen oder [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Silverlight]:Version auf x64 Microsoft Windows-Systemen.

Unter Apple Mac OS finden Sie die Versions- und Buildinformationen der aktuell installierten Version von Microsoft Silverlight wie folgt:

1. Öffnen des Finders
2. Wählen Sie das Systemlaufwerk aus, und wechseln Sie zum Ordner Internet-Plug-Ins – Library
3. Klicken Sie mit der rechten Maustaste auf die Datei Silverlight.Plug-In (wenn Die Maus nur über eine Schaltfläche verfügt, drücken Sie die STRG-TASTE , während Sie auf die Datei klicken), um das Kontextmenü zu öffnen, und klicken Sie dann auf Paketinhalt anzeigen
4. Suchen Sie im Inhaltsordner nach der Datei info.plist , und öffnen Sie sie mit einem Editor. Es enthält einen Eintrag wie diesen, der Ihnen die Versionsnummer anzeigt: SilverlightVersion 5.1.20125.0

Die Version, die mit diesem Sicherheitsupdate für Microsoft Silverlight 5 installiert wird, ist 5.1.20125.0. Wenn Ihre Microsoft Silverlight 5-Versionsnummer höher oder gleich dieser Versionsnummer ist, ist Ihr System nicht anfällig.

Gewusst wie meine Version von Microsoft Silverlight aktualisieren?
Das Feature für die automatische Aktualisierung von Microsoft Silverlight trägt dazu bei, dass Ihre Microsoft Silverlight-Installation mit der neuesten Version von Microsoft Silverlight, Microsoft Silverlight-Funktionen und Sicherheitsfeatures auf dem neuesten Stand ist. Weitere Informationen zum Feature für automatische Updates von Microsoft Silverlight finden Sie im Microsoft Silverlight Updater. Windows-Benutzer, die die automatische Aktualisierung von Microsoft Silverlight deaktiviert haben, können sich bei Microsoft Update registrieren, um die neueste Version von Microsoft Silverlight zu erhalten, oder können die neueste Version von Microsoft Silverlight manuell herunterladen, indem Sie den Downloadlink in der Tabelle Betroffene Software im vorherigen Abschnitt Betroffene und nicht betroffene Software verwenden. Informationen zum Bereitstellen von Microsoft Silverlight in einer Unternehmensumgebung finden Sie im Silverlight Enterprise Deployment Guide .

Wird mit diesem Update meine Version von Silverlight aktualisiert?
Das 2814124 Update aktualisiert frühere Versionen von Silverlight auf Silverlight Version 5.1.20125.0. Microsoft empfiehlt ein Upgrade, um vor dem in diesem Bulletin beschriebenen Sicherheitsrisiko geschützt zu sein.

Wo finde ich zusätzliche Informationen zum Silverlight-Produktlebenszyklus?
Informationen zum Lebenszyklus von Silverlight finden Sie in der Microsoft Silverlight-Supportlebenszyklus-Richtlinie.

Ich verwende eine ältere Version der In diesem Security Bulletin beschriebenen Software.   Wie sollte ich vorgehen?
Die in diesem Bulletin aufgeführte betroffene Software wurde getestet, um festzustellen, welche Releases betroffen sind. Andere Releases haben ihren Supportlebenszyklus hinter sich. Weitere Informationen zum Produktlebenszyklus finden Sie auf der Website Microsoft-Support Lifecycle.

Es sollte für Kunden mit älteren Versionen der Software prioritätsberechtigt sein, zu unterstützten Releases zu migrieren, um potenzielle Sicherheitsrisiken zu vermeiden. Informationen zum Ermitteln des Supportlebenszyklus für Ihr Softwarerelease finden Sie unter Auswählen eines Produkts für Lebenszyklusinformationen. Weitere Informationen zu Service Packs für diese Softwareversionen finden Sie unter Service Pack Lifecycle Support Policy.

Kunden, die benutzerdefinierten Support für ältere Software benötigen, müssen sich an ihren Microsoft-Kontoteammitarbeiter, ihren Technical Account Manager oder den entsprechenden Microsoft-Partnermitarbeiter wenden, um benutzerdefinierte Supportoptionen zu erhalten. Kunden ohne Alliance-, Premier- oder Authorized-Vertrag können sich an ihr lokales Microsoft-Vertriebsbüro wenden. Kontaktinformationen finden Sie auf der Microsoft Worldwide Information-Website , wählen Sie das Land in der Liste Kontaktinformationen aus, und klicken Sie dann auf Gehe , um eine Liste der Telefonnummern anzuzeigen. Wenn Sie anrufen, bitten Sie, mit dem lokalen Premier Support-Vertriebsleiter zu sprechen. Weitere Informationen finden Sie in den häufig gestellten Fragen zur Microsoft-Support Lifecycle-Richtlinie.

Informationen zu Sicherheitsrisiken

Schweregradbewertungen und Bezeichner für Sicherheitsrisiken

Bei den folgenden Schweregradbewertungen wird die potenzielle maximale Auswirkung der Sicherheitsanfälligkeit vorausgesetzt. Informationen zur Wahrscheinlichkeit der Ausnutzbarkeit des Sicherheitsrisikos in Bezug auf den Schweregrad und die Auswirkungen auf die Sicherheit innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Exploitability Index im Bulletin Summary vom März. Weitere Informationen finden Sie unter Microsoft Exploitability Index.

Betroffene Software	Sicherheitsanfälligkeit in Silverlight bezüglich doppelter Dereferenzierung – CVE-2013-0074	Bewertung des Aggregierten Schweregrads
Microsoft Silverlight 5
Microsoft Silverlight 5 bei Der Installation auf dem Mac	Kritisch Remotecodeausführung	Critical (Kritisch)
Microsoft Silverlight 5 Developer Runtime bei Installation auf dem Mac	Kritisch Remotecodeausführung	Critical (Kritisch)
Microsoft Silverlight 5 bei Installation auf allen unterstützten Versionen von Microsoft Windows-Clients	Kritisch Remotecodeausführung	Critical (Kritisch)
Microsoft Silverlight 5 Developer Runtime bei Installation auf allen unterstützten Versionen von Microsoft Windows-Clients	Kritisch Remotecodeausführung	Critical (Kritisch)
Microsoft Silverlight 5 bei Installation auf allen unterstützten Versionen von Microsoft Windows-Servern	Kritisch Remotecodeausführung	Critical (Kritisch)
Microsoft Silverlight 5 Developer Runtime bei Installation auf allen unterstützten Versionen von Microsoft Windows-Servern	Kritisch Remotecodeausführung	Critical (Kritisch)

Sicherheitsanfälligkeit in Silverlight bezüglich doppelter Dereferenzierung – CVE-2013-0074

In Microsoft Silverlight liegt eine Sicherheitsanfälligkeit aufgrund einer Remotecodeausführung vor, die es einer speziell erstellten Silverlight-Anwendung ermöglichen kann, auf unsichere Weise auf Arbeitsspeicher zuzugreifen. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann beliebigen Code im Sicherheitskontext des aktuellen Benutzers ausführen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Informationen zum Anzeigen dieses Sicherheitsrisikos als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2013-0074.

Schadensbegrenzende Faktoren

Entschärfung bezieht sich auf eine Einstellung, eine allgemeine Konfiguration oder eine allgemeine bewährte Methode, die in einem Standardzustand vorhanden ist und den Schweregrad der Ausnutzung eines Sicherheitsrisikos verringern kann. Die folgenden Milderungsfaktoren können in Ihrer Situation hilfreich sein:

• In einem Webbrowsen-Angriffsszenario kann ein Angreifer eine Website hosten, die eine Webseite enthält, die zum Ausnutzen dieser Sicherheitsanfälligkeit verwendet wird. Darüber hinaus können kompromittierte Websites und Websites, die von Benutzern bereitgestellte Inhalte oder Werbung akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zum Besuch dieser Websites zu zwingen. Stattdessen müsste ein Angreifer benutzer dazu bringen, die Website zu besuchen, indem er sie in der Regel dazu bringt, auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht zu klicken, die Benutzer zur Website des Angreifers führt.
• Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erhalten. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.
• Standardmäßig wird internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2 und Windows Server 2012 in einem eingeschränkten Modus ausgeführt, der als erweiterte Sicherheitskonfiguration bezeichnet wird. Dieser Modus entschärft dieses Sicherheitsrisiko. Weitere Informationen zur erweiterten Sicherheitskonfiguration für Internet Explorer finden Sie im Abschnitt häufig gestellte Fragen dieses Sicherheitsupdates.

Problemumgehungen

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht korrigiert, aber dazu beitragen würde, bekannte Angriffsvektoren zu blockieren, bevor Sie das Update anwenden. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Diskussion an, ob eine Problemumgehung die Funktionalität reduziert:

• Vorübergehendes Verhindern der Ausführung des Microsoft Silverlight ActiveX-Steuerelements in Internet Explorer (Methode 1)

  Sie können zum Schutz vor diesen Sicherheitsrisiken beitragen, indem Sie vorübergehend verhindern, dass versucht wird, das Silverlight ActiveX-Steuerelement im Internet Explorer zu instanziieren, indem Sie das Kill Bit für das Steuerelement festlegen.

  Warnung Wenn Sie den Registrierungs-Editor falsch verwenden, können Sie schwerwiegende Probleme verursachen, die möglicherweise eine Neuinstallation Des Betriebssystems erfordern. Microsoft kann nicht garantieren, dass Probleme, die aus der falschen Verwendung des Registrierungs-Editors resultieren, gelöst werden können. Sie verwenden den Registrierungs-Editor auf eigene Gefahr.

  Es wird empfohlen, dass Sie die Registrierung sichern, bevor Sie sie bearbeiten.

  Verwenden Sie den folgenden Text, um eine REG-Datei zu erstellen, die vorübergehend verhindert, dass versucht wird, das Silverlight ActiveX-Steuerelement in Internet Explorer zu instanziieren. Sie können den folgenden Text kopieren, ihn in einen Text-Editor wie Editor einfügen und die Datei dann mit der Dateinamenerweiterung .reg speichern. Führen Sie die REG-Datei auf dem anfälligen Client aus.

  Windows Registry Editor Version 5.00
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{DFEAF541-F3E1-4C24-ACAC-99C30715084A}]
  "Compatibility Flags"=dword:00000400
  

  Schließen Sie internet Explorer, und öffnen Sie es erneut, damit die Änderungen wirksam werden.

  Ausführliche Schritte zum Beenden der Ausführung eines Steuerelements in Internet Explorer finden Sie im Microsoft Knowledge Base-Artikel 240797. Führen Sie diese Schritte aus, und erstellen Sie einen Wert für Kompatibilitätsflags in der Registrierung, um zu verhindern, dass das Silverlight ActiveX-Steuerelement in Internet Explorer ausgeführt wird.

  Auswirkungen der Problemumgehung. Anwendungen und Websites, die das ActiveX-Steuerelement von Microsoft Silverlight erfordern, funktionieren möglicherweise nicht mehr ordnungsgemäß. Wenn Sie diese Problemumgehung implementieren, wirkt sich dies auf alle Silverlight ActiveX-Steuerelemente aus, die Sie auf Ihrem System installiert haben.

  Rückgängigmachen der Problemumgehung Entfernen Sie die hinzugefügten Registrierungsschlüssel, um vorübergehend zu verhindern, dass versucht wird, das Silverlight ActiveX-Steuerelement in Internet Explorer zu instanziieren.

• Vorübergehendes Verhindern der Ausführung des Microsoft Silverlight ActiveX-Steuerelements in Internet Explorer (Methode 2)

  Führen Sie die folgenden Schritte aus, um den Registrierungsschlüssel zum Deaktivieren von Microsoft Silverlight zu ändern:

  Hinweis Wenn Sie den Registrierungs-Editor falsch verwenden, kann dies zu schwerwiegenden Problemen führen, sodass Sie Ihr Betriebssystem möglicherweise neu installieren müssen. Microsoft übernimmt keinerlei Garantie dafür, dass Probleme aufgrund nicht ordnungsgemäßer Verwendung des Registrierungs-Editors behoben werden können. Sie verwenden den Registrierungs-Editor auf eigene Gefahr. Informationen zum Bearbeiten der Registrierung finden Sie im Hilfethema "Ändern von Schlüsseln und Werten" im Registrierungs-Editor (Regedit.exe) oder in den Hilfethemen "Informationen in der Registrierung hinzufügen und löschen" und "Registrierungsdaten bearbeiten" in Regedt32.exe.

  • Verwenden der interaktiven Methode

    1. Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie regedit in das Feld Öffnen ein, und klicken Sie dann auf OK.

    2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:

       HKEY_CLASSES_ROOT\CLSID\{DFEAF541-F3E1-4c24-ACAC-99C30715084A}
       

    3. Klicken Sie mit der rechten Maustaste auf {DFEAF541-F3E1-4c24-ACAC-99C30715084A} , und wählen Sie Exportieren aus. Speichern Sie die Datei auf dem Datenträger.

    4. Löschen Sie den gesamten Schlüssel {DFEAF541-F3E1-4c24-ACAC-99C30715084A}.

    5. Schließen Sie den Registrierungs-Editor.

  • Verwenden einer Registrierungsdatei

    1. Erstellen Sie eine Sicherungskopie der Registrierungsschlüssel. Eine Sicherungskopie kann mithilfe eines verwalteten Bereitstellungsskripts mit dem folgenden Befehl erstellt werden:

       Regedit.exe /e SL_backup.reg HKEY_CLASSES_ROOT\CLSID\{DFEAF541-F3E1-4c24-ACAC-99C30715084A}
       

    2. Speichern Sie Folgendes in einer Datei mit einem . REG-Erweiterung (z. B. Disable_Silverlight.reg):

       Windows Registry Editor Version 5.00
       [-HKEY_CLASSES_ROOT\CLSID\{DFEAF541-F3E1-4c24-ACAC-99C30715084A}]
       

    3. Führen Sie das obige Registrierungsskript aus, das in Schritt 2 auf dem Zielsystem erstellt wurde, mit dem folgenden Befehl:

       Regedit /s Disable_Silverlight.reg
       

• Vorübergehendes Verhindern der Ausführung des Microsoft Silverlight ActiveX-Steuerelements in Firefox oder Chrome

  Führen Sie die folgenden Schritte aus, um den Registrierungsschlüssel zum Deaktivieren von Microsoft Silverlight zu ändern:

  Hinweis Wenn Sie den Registrierungs-Editor falsch verwenden, kann dies zu schwerwiegenden Problemen führen, sodass Sie Ihr Betriebssystem möglicherweise neu installieren müssen. Microsoft übernimmt keinerlei Garantie dafür, dass Probleme aufgrund nicht ordnungsgemäßer Verwendung des Registrierungs-Editors behoben werden können. Sie verwenden den Registrierungs-Editor auf eigene Gefahr. Informationen zum Bearbeiten der Registrierung finden Sie im Hilfethema "Ändern von Schlüsseln und Werten" im Registrierungs-Editor (Regedit.exe) oder in den Hilfethemen "Informationen in der Registrierung hinzufügen und löschen" und "Registrierungsdaten bearbeiten" in Regedt32.exe.

  • Verwenden der interaktiven Methode

    1. Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie regedit in das Feld Öffnen ein, und klicken Sie dann auf OK.

    2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf:

       HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0
       

    3. Klicken Sie mit der rechten Maustaste auf @Microsoft.com/NpCtrl,version=1.0, und wählen Sie Exportieren aus. Speichern Sie die Datei auf dem Datenträger.

    4. Löschen Sie den gesamten @Microsoft.com/NpCtrl,version=1.0-Schlüssel .

    5. Beenden Sie den Registrierungs-Editor.

  • Verwenden einer Registrierungsdatei

    1. Erstellen Sie eine Sicherungskopie der Registrierungsschlüssel. Eine Sicherungskopie kann mithilfe eines verwalteten Bereitstellungsskripts mit dem folgenden Befehl erstellt werden:

       Regedit.exe /e SL_backup.reg HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0
       

    2. Speichern Sie Folgendes in einer Datei mit einem . REG-Erweiterung (z. B. Disable_Silverlight.reg):

       Windows Registry Editor Version 5.00
       [-HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0]
       

    3. Führen Sie das obige Registrierungsskript aus, das in Schritt 2 auf dem Zielsystem erstellt wurde, mit dem folgenden Befehl:

       Regedit /s Disable_Silverlight.reg
       

  Rückgängigmachen der Problemumgehung

  • Verwenden der interaktiven Methode

    1. Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie regedit in das Feld Öffnen ein, und klicken Sie dann auf OK.
    2. Klicken Sie im Menü Datei auf Importieren.
    3. Wählen Sie unter Suchen in das Laufwerk, den Ordner oder den Netzwerkcomputer und ordner aus, auf dem sich die zuvor exportierte Datei befindet.
    4. Wählen Sie den richtigen Dateinamen aus, und klicken Sie dann auf Öffnen.

  • Verwenden eines verwalteten Bereitstellungsskripts

    Stellen Sie die in Schritt 1 oben unter Verwenden einer Registrierungsdatei gesicherte Datei mit dem folgenden Befehl wieder her:

    Regedit /s SL_backup.reg
    

Häufig gestellte Fragen

Was ist der Umfang der Sicherheitslücke?
Dies ist ein Sicherheitsrisiko bei der Remotecodeausführung.

Was verursacht das Sicherheitsrisiko?
Die Sicherheitsanfälligkeit wird dadurch verursacht, dass Microsoft Silverlight beim Rendern eines HTML-Objekts einen Speicherzeiger fälschlicherweise überprüft.

Was ist Microsoft Silverlight?
Microsoft Silverlight ist eine browserübergreifende, plattformübergreifende Implementierung des Microsoft .NET Framework zum Erstellen von Medienerlebnissen und umfassenden interaktiven Anwendungen für das Web. Weitere Informationen finden Sie auf der offiziellen Website von Microsoft Silverlight.

Was kann ein Angreifer mit der Sicherheitsanfälligkeit tun?
Im Webbrowsszenario kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, die gleichen Berechtigungen wie der aktuell angemeldete Benutzer erhalten. Wenn ein Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer die vollständige Kontrolle über das betroffene System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Wie kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen?
Ein Angreifer könnte eine Website hosten, die eine speziell gestaltete Silverlight-Anwendung enthält, die diese Sicherheitsanfälligkeit ausnutzen und dann einen Benutzer dazu verreden könnte, die Website anzuzeigen. Der Angreifer könnte auch kompromittierte Websites und Websites nutzen, die vom Benutzer bereitgestellte Inhalte oder Werbung akzeptieren oder hosten. Diese Websites könnten speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zum Besuch dieser Websites zu zwingen. Stattdessen müsste ein Angreifer benutzer dazu bringen, die Website zu besuchen, indem er sie in der Regel dazu bringt, auf einen Link in einer E-Mail-Nachricht oder in einer Instant Messenger-Nachricht zu klicken, die Benutzer zur Website des Angreifers führt. Es könnte auch möglich sein, speziell gestaltete Webinhalte mithilfe von Bannerwerbung oder mit anderen Methoden anzuzeigen, um Webinhalte an betroffene Systeme zu übermitteln.

Welche Systeme sind in erster Linie durch die Sicherheitslücke gefährdet?
Die erfolgreiche Ausnutzung dieser Sicherheitsanfälligkeit erfordert, dass ein Benutzer angemeldet ist und Websites mit einem Webbrowser besucht, der Silverlight-Anwendungen instanziieren kann. Daher sind systeme, auf denen häufig ein Webbrowser verwendet wird, z. B. Arbeitsstationen oder Terminalserver, das größte Risiko durch dieses Sicherheitsrisiko. Server könnten einem größeren Risiko ausgesetzt sein, wenn Administratoren Benutzern erlauben, E-Mails auf Servern zu durchsuchen und zu lesen. Bewährte Methoden raten jedoch dringend davon ab, dies zuzulassen.

Ich verwende Internet Explorer für Windows Server 2003, Windows Server 2008, Windows Server 2008 R2 oder Windows Server 2012. Entschärft dies dieses Sicherheitsrisiko?
Ja. Standardmäßig wird internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2 und Windows Server 2012 in einem eingeschränkten Modus ausgeführt, der als erweiterte Sicherheitskonfiguration bezeichnet wird. Die erweiterte Sicherheitskonfiguration ist eine Gruppe vorkonfigurierter Einstellungen in Internet Explorer, die die Wahrscheinlichkeit verringern können, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einem Server herunterlädt und ausführt. Dies ist ein Minderungsfaktor für Websites, die Sie nicht der Zone Internet Explorer Vertrauenswürdige Websites hinzugefügt haben.

Hilft EMET, Angriffe zu mindern, die versuchen, diese Sicherheitsanfälligkeit auszunutzen?
Ja. Das Enhanced Mitigation Experience Toolkit (EMET) hilft, die Ausnutzung dieser Sicherheitsanfälligkeit zu minimieren, indem zusätzliche Schutzebenen hinzugefügt werden, die die Ausnutzung der Sicherheitsanfälligkeit erschweren. EMET ist ein Hilfsprogramm, das hilft, zu verhindern, dass Sicherheitsrisiken in Software erfolgreich für die Codeausführung ausgenutzt werden, indem die neuesten Technologien zur Sicherheitsminderung angewendet werden. EMET wird derzeit nur mit eingeschränkter Unterstützung bereitgestellt und ist nur in englischer Sprache verfügbar. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 2458544.

Was ist das Enhanced Mitigation Experience Toolkit v3.0 (EMET)?
Das Enhanced Mitigation Experience Toolkit (EMET) ist ein Hilfsprogramm, mit dem verhindert wird, dass Sicherheitsrisiken in Software erfolgreich ausgenutzt werden. EMET erreicht dies mithilfe von Technologien zur Sicherheitsminderung. Diese Technologien fungieren als besondere Schutzmaßnahmen und Hindernisse, die ein Exploit-Autor überwinden muss, um Softwareschwachstellen auszunutzen. Diese Technologien zur Sicherheitsminderung garantieren nicht, dass Sicherheitsrisiken nicht ausgenutzt werden können, sondern arbeiten daran, die Ausnutzung so schwer wie möglich zu gestalten. In vielen Fällen wird möglicherweise nie ein voll funktionsfähiger Exploit entwickelt, der EMET umgehen kann. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 2458544.

Was bewirkt das Update?
Das Update behebt dieses Sicherheitsrisiko, indem korrigiert wird, wie Microsoft Silverlight Speicherzeiger beim Rendern von HTML-Objekten überprüft.

Wurde dieses Sicherheitsrisiko bei der Ausgabe dieses Security Bulletins öffentlich bekannt gegeben?
Nein. Microsoft hat informationen zu diesem Sicherheitsrisiko durch koordinierte Offenlegung von Sicherheitsrisiken erhalten.

Hat Microsoft bei der Ausgabe dieses Security Bulletins Berichte erhalten, dass diese Sicherheitsanfälligkeit ausgenutzt wurde?
Nein. Microsoft hatte keine Informationen erhalten, die darauf hindeuten, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde, als dieses Sicherheitsbulletin ursprünglich veröffentlicht wurde.

Aktualisieren von Informationen

Erkennungs- und Bereitstellungstools und Anleitungen

Es stehen mehrere Ressourcen zur Verfügung, um Administratoren bei der Bereitstellung von Sicherheitsupdates zu unterstützen. 

• Mit Microsoft Baseline Security Analyzer (MBSA) können Administratoren lokale und Remotesysteme auf fehlende Sicherheitsupdates und häufige Sicherheitsfehler überprüfen. 
• Windows Server Update Services (WSUS), Systems Management Server (SMS) und System Center Configuration Manager (SCCM) helfen Administratoren beim Verteilen von Sicherheitsupdates. 
• Die Komponenten für die Updatekompatibilitätsauswertung, die im Application Compatibility Toolkit enthalten sind, helfen bei der Optimierung des Testens und Überprüfens von Windows-Updates für installierte Anwendungen. 

Informationen zu diesen und anderen verfügbaren Tools finden Sie unter Sicherheitstools für IT-Experten. 

Hinweis Windows-Erkennungs- und Bereitstellungstools gelten nicht für Mac-Systeme. Mac-Benutzer können jedoch das Feature für die automatische Aktualisierung von Microsoft Silverlight verwenden, um sicherzustellen, dass Systeme mit der neuesten Version von Microsoft Silverlight, Microsoft Silverlight-Funktionen und Sicherheitsfeatures auf dem neuesten Stand sind. Weitere Informationen zum Feature für die automatische Aktualisierung von Microsoft Silverlight finden Sie unter Microsoft Silverlight Updater.

Bereitstellung von Sicherheitsupdates

Betroffene Software

Klicken Sie auf den entsprechenden Link, um Informationen zum spezifischen Sicherheitsupdate für Ihre betroffene Software zu erhalten:

Silverlight 5 für Mac (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Sicherheitsupdateinformationen für diese Software.

Dateinamen für Sicherheitsupdates	Für Microsoft Silverlight 5 bei Installation auf dem Mac:\ Silverlight.dmg
Für Microsoft Silverlight 5 Developer Runtime bei Installation auf mac:\ silverlight_developer.dmg
Erforderlicher Neustart	Für dieses Update ist kein Neustart erforderlich.
Entfernungsinformationen	Öffnen Sie den Finder, wählen Sie das Systemlaufwerk aus, wechseln Sie zum Ordner Internet-Plug-Ins – Bibliothek, und löschen Sie die Datei Silverlight.Plug-In. (Beachten Sie, dass das Update nicht entfernt werden kann, ohne das Silverlight-Plug-In zu entfernen.)
Dateiinformationen	Siehe Microsoft Knowledge Base-Artikel 2814124
Installationsprüfung	Lesen Sie den Abschnitt Häufig gestellte Fragen zum Aktualisieren in diesem Bulletin, in dem die Frage "Gewusst wie wissen, welche Version und welcher Build von Microsoft Silverlight derzeit installiert ist?"

Silverlight 5 für Windows (alle unterstützten Releases)

Referenztabelle

Die folgende Tabelle enthält die Sicherheitsupdateinformationen für diese Software.

Dateinamen von Sicherheitsupdates	Für Microsoft Silverlight 5 bei Installation in allen unterstützten 32-Bit-Versionen von Microsoft Windows:\ silverlight.exe
Für Microsoft Silverlight 5 Developer Runtime bei Installation in allen unterstützten 32-Bit-Versionen von Microsoft Windows:\ silverlight_developer.exe
Für Microsoft Silverlight 5 bei Installation unter allen unterstützten 64-Bit-Versionen von Microsoft Windows:\ silverlight_x64.exe
Für Microsoft Silverlight 5 Developer Runtime bei Installation in allen unterstützten 64-Bit-Versionen von Microsoft Windows:\ silverlight_developer_x64.exe
Installationsschalter	Weitere Informationen finden Sie im Silverlight Enterprise Deployment Guide
Erforderlicher Neustart	Für dieses Update ist kein Neustart erforderlich.
Informationen zum Entfernen	Verwenden Sie in Systemsteuerung das Element Software hinzufügen oder entfernen. (Beachten Sie, dass das Update nicht entfernt werden kann, ohne Silverlight zu entfernen.)
Dateiinformationen	Siehe Microsoft Knowledge Base-Artikel 2814124
Überprüfung des Registrierungsschlüssels	Für 32-Bit-Installationen von Microsoft Silverlight 5:\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight "Version" = "Y"
Bei 64-Bit-Installationen von Microsoft Silverlight 5:\ HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Silverlight "Version" = "Y"\ und\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight "Version" = "Y"

Sonstige Informationen

Danksagungen

Microsoft dankt ihnen für die Zusammenarbeit mit uns zum Schutz von Kunden:

• James Forshaw von Context Information Security für den Hinweis auf die Sicherheitsanfälligkeit in Silverlight bezüglich doppelter Dereference (CVE-2013-0074)

Microsoft Active Protections Program (MAPP)

Um den Sicherheitsschutz für Kunden zu verbessern, stellt Microsoft sicherheitsrelevante Informationen für wichtige Anbieter von Sicherheitssoftware vor jedem monatlichen Release von Sicherheitsupdates bereit. Sicherheitssoftwareanbieter können diese Sicherheitsrisikoinformationen dann verwenden, um Kunden über ihre Sicherheitssoftware oder Geräte aktualisierten Schutz bereitzustellen, z. B. Virenschutz, netzwerkbasierte Eindringerkennungssysteme oder hostbasierte Intrusion Prevention-Systeme. Um zu ermitteln, ob aktive Schutze von Sicherheitssoftwareanbietern verfügbar sind, navigieren Sie zu den aktiven Schutzwebsites, die von Programmpartnern bereitgestellt werden und unter Microsoft Active Protections Program (MAPP) Partner aufgeführt sind.

Support

So erhalten Sie Hilfe und Support für dieses Sicherheitsupdate

• Hilfe beim Installieren von Updates: Support für Microsoft Update
• Sicherheitslösungen für IT-Experten: TechNet Security Troubleshooting and Support
• Schützen Sie Ihren Computer, auf dem Windows ausgeführt wird, vor Viren und Schadsoftware: Virus Solution and Security Center
• Lokaler Support je nach Land: Internationaler Support

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie "wie benährt" bereitgestellt. Microsoft lehnt alle ausdrücklichen oder impliziten Garantien ab, einschließlich der Gewährleistung der Marktgängigkeit und Eignung für einen bestimmten Zweck. Die Microsoft Corporation oder ihre Lieferanten haften in keinem Fall für Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder besonderen Schäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Beschränkung der Haftung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (12. März 2013): Bulletin veröffentlicht.
• V1.1 (12. März 2013): Die aktuelle Buildnummer für Microsoft Silverlight 5 wurde im Abschnitt Häufig gestellte Fragen zu Updates korrigiert.
• V1.2 (3. April 2013): Der Eintrag Bekannte Probleme im Artikelabschnitt der Wissensdatenbank wurde von "None" auf "Ja" aktualisiert und klargestellt, dass durch die Installation des Updates ein Upgrade früherer Silverlight-Versionen auf Silverlight-Version 5.1.20125.0 durchgeführt wird.

Gebaut am 2014-04-18T13:49:36Z-07:00