Microsoft Security Bulletin MS14-080 – Kritisch

Kumulatives Sicherheitsupdate für Internet Explorer (3008923)

Veröffentlicht: 9. Dezember 2014 | Aktualisiert: 14. April 2015

Version: 3.0

Kurzfassung

Dieses Sicherheitsupdate behebt vierzehn privat gemeldete Sicherheitsrisiken in Internet Explorer. Die schwerwiegendste dieser Sicherheitsrisiken kann die Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mithilfe von Internet Explorer anzeigt. Ein Angreifer, der diese Sicherheitsrisiken erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der aktuelle Benutzer erhalten. Kunden, deren Konten so konfiguriert sind, dass sie über weniger Benutzerrechte auf dem System verfügen, sind möglicherweise weniger betroffen als Benutzer mit Administratorrechten.

Dieses Sicherheitsupdate wird für Internet Explorer 6 (IE 6), Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) und Internet Explorer 11 (IE 11) auf betroffenen Windows-Clients und Moderat für Internet als "Moderat" eingestuft. Explorer 6 (IE 6), Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) und Internet Explorer 11 (IE 11) auf betroffenen Windows-Servern. Weitere Informationen finden Sie im Abschnitt Betroffene Software .

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem die Art und Weise geändert wird, wie Internet Explorer Objekte im Arbeitsspeicher verarbeitet, indem verhindert wird, dass der XSS-Filter im Internet Explorer html-Attribute falsch deaktiviert, indem sichergestellt wird, dass betroffene Versionen von Internet Explorer Implementieren Sie die ASLR-Sicherheitsfunktion ordnungsgemäß, und ändern Sie, wie die VBScript-Skript-Engine Objekte im Arbeitsspeicher behandelt. Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt Informationen zu Sicherheitsrisiken .

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3008923.

 

Betroffene Software

Die folgenden Softwareversionen oder -editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, haben entweder ihren Supportlebenszyklus hinter sich oder sind nicht betroffen. Informationen zum Bestimmen des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Betroffene Software 

Betriebssystem Komponente Maximale Sicherheitsbeeinträchtigung Bewertung des Aggregierten Schweregrads Updates ersetzt
Internet Explorer 6
Windows Server 2003 Service Pack 2 Internet Explorer 6 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 6 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2003 mit SP2 für Itanium-basierte Systeme Internet Explorer 6 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Internet Explorer 7
Windows Server 2003 Service Pack 2 Internet Explorer 7 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 7 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2003 mit SP2 für Itanium-basierte Systeme Internet Explorer 7 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Vista Service Pack 2 Internet Explorer 7 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Vista x64 Edition Service Pack 2 Internet Explorer 7 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Server 2008 für 32-Bit-Systeme Service Pack 2 Internet Explorer 7 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2008 für x64-basierte Systeme Service Pack 2 Internet Explorer 7 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2008 für Itanium-basierte Systeme Service Pack 2 Internet Explorer 7 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Internet Explorer 8
Windows Server 2003 Service Pack 2 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Vista Service Pack 2 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Vista x64 Edition Service Pack 2 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Server 2008 für 32-Bit-Systeme Service Pack 2 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2008 für x64-basierte Systeme Service Pack 2 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows 7 für 32-Bit-Systeme Service Pack 1 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows 7 für x64-basierte Systeme Service Pack 1 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2008 R2 für Itanium-basierte Systeme Service Pack 1 Internet Explorer 8 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Internet Explorer 9
Windows Vista Service Pack 2 Internet Explorer 9 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Vista x64 Edition Service Pack 2 Internet Explorer 9 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Server 2008 für 32-Bit-Systeme Service Pack 2 Internet Explorer 9 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2008 für x64-basierte Systeme Service Pack 2 Internet Explorer 9 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows 7 für 32-Bit-Systeme Service Pack 1 Internet Explorer 9 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows 7 für x64-basierte Systeme Service Pack 1 Internet Explorer 9 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 Internet Explorer 9 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Internet Explorer 10
Windows 7 für 32-Bit-Systeme Service Pack 1 Internet Explorer 10 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows 7 für x64-basierte Systeme Service Pack 1 Internet Explorer 10 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 Internet Explorer 10 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows 8 für 32-Bit-Systeme Internet Explorer 10 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows 8 für 32-Bit-Systeme Internet Explorer 10 (3029449)[1] Codeausführung von Remotestandorten Kritisch Keine
Windows 8 für x64-basierte Systeme Internet Explorer 10 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows 8 für x64-basierte Systeme Internet Explorer 10 (3029449)[1] Codeausführung von Remotestandorten Kritisch Keine
Windows Server 2012 Internet Explorer 10 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows Server 2012 Internet Explorer 10 (3029449)[1] Codeausführung von Remotestandorten Moderat Keine
Windows RT Internet Explorer 10[2](3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows RT Internet Explorer 10[2](3029449)[1] Codeausführung von Remotestandorten Kritisch Keine
Internet Explorer 11
Windows 7 für 32-Bit-Systeme Service Pack 1 Internet Explorer 11 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows 7 für x64-basierte Systeme Service Pack 1 Internet Explorer 11 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 Internet Explorer 11 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows 8.1 für 32-Bit-Systeme Internet Explorer 11 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows 8.1 für x64-basierte Systeme Internet Explorer 11 (3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065
Windows Server 2012 R2 Internet Explorer 11 (3008923) Codeausführung von Remotestandorten Moderat 3003057 in MS14-065
Windows RT 8.1 Internet Explorer 11[2](3008923) Codeausführung von Remotestandorten Kritisch 3003057 in MS14-065

[1]Kunden, die Internet Explorer 10 unter Windows 8, Windows Server 2012 oder Window RT ausführen, sollten beide Updates (3008923 und 3029449) installieren.

[2]Dieses Update ist über Windows Update verfügbar.

Hinweis Für Systeme, auf denen internet Explorer 9 oder höher ausgeführt wird, wird CVE-2014-6363 durch dieses Update (3008923) behoben. Für alle anderen betroffenen Versionen von Internet Explorer wird CVE-2014-6363 durch das in MS14-084 beschriebene Update behandelt. Weitere Informationen finden Sie in den häufig gestellten Fragen zu Updates.

Beachten Sie Windows Technical Preview und Windows Server Technical Preview betroffen sind. Kunden, die diese Betriebssysteme ausführen, werden empfohlen, das Update anzuwenden, das über Windows Update verfügbar ist. 

Häufig gestellte Fragen zum Aktualisieren

Welches Update gilt für mein System für cve-2014-6363?
CVE-2014-6363 ist ein Sicherheitsrisiko in der VBScript-Skript-Engine. Obwohl der Angriffsvektor über das Internet Explorer erfolgt, wird dieses Sicherheitsrisiko durch dieses Update (3008923) nur für Systeme behoben, auf denen Internet Explorer 9, Internet Explorer 10 und Internet Explorer 11 ausgeführt wird. Für Internet Explorer 8 und früher und für Systeme ohne installierte Internet-Explorer wird dieses Sicherheitsrisiko durch das in MS14-084 beschriebene Update behoben.

Das Update, das CVE-2014-6363 adressiert, hängt von der Version der VBScript-Skript-Engine ab, die auf Ihrem System installiert ist. Informationen zu Updates finden Sie in der folgenden Tabelle.

Version MS14-084 MS14 080
VBScript 5.6\ (Internet Explorer 6) VBScript 5.6 \ (3012168) Nicht zutreffend
VBScript 5.7\ (Internet Explorer 6 und Internet Explorer 7) VBScript 5.7 \ (3012172) Nicht zutreffend
VBScript 5.8\ (Internet Explorer 8) VBScript 5.8 \ (3012176) Nicht zutreffend
VBScript 5.8\ (Internet Explorer 9) Nicht zutreffend Internet Explorer 9 \ (3008923)
VBScript 5.8\ (Internet Explorer 10) Nicht zutreffend Internet Explorer 10 \ (3008923)
VBScript 5.8\ (Internet Explorer 11) Nicht zutreffend Internet Explorer 11 \ (3008923)

Schweregradbewertungen und Bezeichner für Sicherheitsrisiken

Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit der Ausnutzung des Sicherheitsrisikos in Bezug auf den Schweregrad und die Sicherheitsauswirkungen innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Ausnutzbarkeitsindex in der Zusammenfassung des Bulletins vom Dezember.

In der folgenden Tabelle Sofern angegeben, geben die Werte "Kritisch", "Wichtig" und "Mittel" den Schweregrad an. Weitere Informationen finden Sie unter Security Bulletin Severity Rating System. Sofern angegeben, weisen die Abkürzungen, wie im folgenden Schlüssel gezeigt, auf die maximale Auswirkung hin:

Abkürzung Maximale Auswirkung
RCE Codeausführung von Remotestandorten
Eop Erhöhung von Rechten
ID Veröffentlichung von Informationen
SFB Umgehung einer Sicherheitsfunktion

 

Schweregradbewertungen und Auswirkungen

CVE-Nummer Titel der Sicherheitslücke Internet Explorer 6 Internet Explorer 7 Internet Explorer 8 Internet Explorer 9 Internet Explorer 10 Internet Explorer 11
CVE-2014-6327 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE
CVE-2014-6328 Sicherheitsanfälligkeit durch Umgehung von XSS-Filtern im Internet Explorer Nicht zutreffend Nicht zutreffend Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB
CVE-2014-6329 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE
CVE-2014-6330 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Nicht zutreffend Nicht zutreffend Nicht zutreffend Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Nicht zutreffend Nicht zutreffend
CVE-2014-6363 VbScript: Sicherheitsrisiko für Speicherbeschädigung Nicht zutreffend Nicht zutreffend Nicht zutreffend Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE
CVE-2014-6365 Sicherheitsanfälligkeit durch Umgehung von XSS-Filtern im Internet Explorer Nicht zutreffend Nicht zutreffend Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB
CVE-2014-6366 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend
CVE-2014-6368 Sicherheitsrisiko bei Umgehung von Internet Explorer ASLR Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Windows-Clients:\ Wichtig / SFB\ \ Windows Server:\ Low / SFB
CVE-2014-6369 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Nicht zutreffend Nicht zutreffend Nicht zutreffend Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE
CVE-2014-6373 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Nicht zutreffend
CVE-Nummer Titel der Sicherheitslücke Internet Explorer 6 Internet Explorer 7 Internet Explorer 8 Internet Explorer 9 Internet Explorer 10 Internet Explorer 11
CVE-2014-6374 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE
CVE-2014-6375 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Nicht zutreffend Nicht zutreffend Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Nicht zutreffend Nicht zutreffend Nicht zutreffend
CVE-2014-6376 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Nicht zutreffend Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE
CVE-2014-8966 Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Windows-Clients:\ Kritisch / RCE\ \ Windows Server:\ Moderate / RCE Nicht zutreffend Nicht zutreffend Nicht zutreffend

 

Informationen zu Sicherheitsrisiken

Sicherheitsrisiken mit mehreren Speicherbeschädigungen im Internet Explorer

Sicherheitsrisiken bei der Remotecodeausführung bestehen, wenn das Internet Explorer nicht ordnungsgemäß auf Objekte im Arbeitsspeicher zugreift. Diese Sicherheitsrisiken können den Arbeitsspeicher so beschädigen, dass ein Angreifer beliebigen Code im Kontext des aktuellen Benutzers ausführen kann. Das Update behebt die Sicherheitsrisiken, indem die Art und Weise geändert wird, in der das Internet Explorer Objekte im Arbeitsspeicher verarbeitet.

Ein Angreifer könnte eine speziell gestaltete Website hosten, die diese Sicherheitsrisiken über das Internet Explorer ausnutzen soll, und dann einen Benutzer davon überzeugen, die Website anzuzeigen. Der Angreifer könnte auch kompromittierte Websites und Websites nutzen, die von Benutzern bereitgestellte Inhalte oder Werbung akzeptieren oder hosten, indem er speziell gestaltete Inhalte hinzufügt, die diese Sicherheitsrisiken ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer dazu zu zwingen, die von Angreifern kontrollierten Inhalte anzuzeigen. Stattdessen müsste ein Angreifer Benutzer davon überzeugen, Maßnahmen zu ergreifen, in der Regel, indem er sie dazu bringt, auf einen Link in einer E-Mail-Nachricht oder in einer Instant Messenger-Nachricht zu klicken, die Benutzer zur Website des Angreifers führt, oder indem er sie dazu bringt, eine per E-Mail gesendete Anlage zu öffnen.

Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann dieselben Benutzerrechte wie der aktuelle Benutzer erhalten. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Systeme, auf denen häufig Internet-Explorer verwendet werden, z. B. Arbeitsstationen oder Terminalserver, sind durch diese Sicherheitsrisiken am stärksten gefährdet.

Das Update behebt die Sicherheitsrisiken, indem die Art und Weise geändert wird, in der das Internet Explorer Objekte im Arbeitsspeicher verarbeitet.

Die folgende Tabelle enthält Links zum Standardeintrag für die einzelnen Sicherheitsrisiken in der Liste Allgemeiner Sicherheitsrisiken:

Titel der Sicherheitslücke CVE-Nummer Öffentlich offengelegt Genutzt
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6327 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6329 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6330 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6366 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6369 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6373 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6374 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6375 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-6376 No No
Sicherheitsanfälligkeit durch Speicherbeschädigung im Internet Explorer CVE-2014-8966 No No

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehung

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Häufig gestellte Fragen

Ich verwende Internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 oder Windows Server 2012 R2. Entschärft dies diese Sicherheitsrisiken? 
Ja. Standardmäßig wird internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 und Windows Server 2012 R2 in einem eingeschränkten Modus ausgeführt, der als erweiterte Sicherheitskonfiguration bezeichnet wird. Erweiterte Sicherheitskonfiguration ist eine Gruppe vorkonfigurierter Einstellungen in Internet Explorer, die die Wahrscheinlichkeit verringern können, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einem Server herunterlädt und ausführt. Dies ist ein mildernder Faktor für Websites, die Sie der Zone "Internet Explorer Vertrauenswürdige Websites" nicht hinzugefügt haben.

Hilft EMET, Angriffe zu minimieren, die versuchen könnten, diese Sicherheitsrisiken auszunutzen? 
Ja. Mit dem Enhanced Mitigation Experience Toolkit (EMET) können Benutzer Sicherheitsminderungstechnologien verwalten, die es Angreifern erschweren, Sicherheitsrisiken in einer bestimmten Software auszunutzen. EMET hilft, diese Sicherheitsrisiken in Internet-Explorer auf Systemen zu minimieren, auf denen EMET installiert und für die Verwendung von Internet-Explorer konfiguriert ist.

Weitere Informationen zu EMET finden Sie unter The Enhanced Mitigation Experience Toolkit.

Mehrere XSS-Filterumgehungsrisiken im Internet Explorer

XSS-Filterumgehungsrisiken bestehen darin, dass internet Explorer ein HTML-Attribut in ansonsten entsprechend gefilterten HTTP-Antwortdaten deaktiviert. Die Sicherheitsrisiken können es ermöglichen, dass zunächst deaktivierte Skripts im falschen Sicherheitskontext ausgeführt werden, was zur Offenlegung von Informationen führt.

Ein Angreifer könnte auf einer Website speziell gestaltete Inhalte veröffentlichen, die diese Sicherheitsanfälligkeit ausnutzen sollen. Der Angreifer müsste dann den Benutzer davon überzeugen, den Inhalt auf der betroffenen Website anzuzeigen. Wenn der Benutzer dann zur Website naviziert, deaktiviert der XSS-Filter HTML-Attribute in den speziell gestalteten Inhalten, wodurch eine Bedingung erstellt wird, die es böswilligen Skripts ermöglichen könnte, im falschen Sicherheitskontext ausgeführt zu werden, was zur Offenlegung von Informationen führt.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann dazu führen, dass Skriptcode auf dem System eines anderen Benutzers unter dem Deckmantel einer Website eines Drittanbieters ausgeführt wird. Ein solcher Skriptcode würde im Browser ausgeführt, wenn die Website des Drittanbieters besucht wird, und könnte alle Aktionen auf dem System des Benutzers ergreifen, die die Website des Drittanbieters durchführen durfte. Die Sicherheitsanfälligkeit konnte nur ausgenutzt werden, wenn der Benutzer auf einen Hypertextlink geklickt hat, entweder in einer HTML-E-Mail oder wenn der Benutzer die Website eines Angreifers oder eine Website besucht hat, die Inhalte enthält, die unter der Kontrolle des Angreifers stehen. Systeme, auf denen das Internet Explorer häufig verwendet wird, z. B. Arbeitsstationen und Terminalserver, sind durch diese Sicherheitsanfälligkeit am meisten gefährdet.

Das Update behebt die Sicherheitsanfälligkeit, indem verhindert wird, dass der XSS-Filter im Internet Explorer html-Attribute fälschlicherweise deaktiviert.

Die folgende Tabelle enthält Links zum Standardeintrag für die einzelnen Sicherheitsrisiken in der Liste Allgemeiner Sicherheitsrisiken:

Titel der Sicherheitslücke CVE-Nummer Öffentlich offengelegt Genutzt
Sicherheitsanfälligkeit durch Umgehung von XSS-Filtern im Internet Explorer CVE-2014-6328 No No
Sicherheitsanfälligkeit durch Umgehung von XSS-Filtern im Internet Explorer CVE-2014-6365 No No

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.

Problemumgehung

Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.

Sicherheitsanfälligkeit durch Umgehung von Internet Explorer ASLR – CVE-2014-6368

Eine Sicherheitslücke zur Umgehung von Sicherheitsfeatures liegt vor, wenn internet Explorer das Sicherheitsfeature "Address Space Layout Randomization" (ASLR) nicht verwendet, sodass ein Angreifer die Speicheroffsets bestimmter Anweisungen in einem bestimmten Anrufstapel zuverlässiger vorhersagen kann. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann das Sicherheitsfeature AsLR (Address Space Layout Randomization) umgehen, das Benutzer vor einer breiten Klasse von Sicherheitsrisiken schützt. Die Umgehung des Sicherheitsfeatures allein lässt keine beliebige Codeausführung zu. Ein Angreifer könnte diese ASLR-Umgehungssicherheit jedoch in Verbindung mit einem anderen Sicherheitsrisiko nutzen, z. B. einer Sicherheitsanfälligkeit bei der Remotecodeausführung, die die ASLR-Umgehung nutzen könnte, um beliebigen Code auszuführen. Beispielsweise kann eine Sicherheitsanfälligkeit bei der Remotecodeausführung, die von ASLR blockiert wird, nach einer erfolgreichen ASLR-Umgehung ausgenutzt werden.

In einem Webbrowsen erfordert die erfolgreiche Ausnutzung dieser Sicherheitsanfälligkeit, dass ein Benutzer angemeldet ist und eine betroffene Version von Internet Explorer ausführt. Daher sind alle Systeme, auf denen ein Webbrowser häufig verwendet wird, wie z. B. Arbeitsstationen oder Terminalserver, das größte Risiko durch diese Sicherheitsanfälligkeit. Server sind möglicherweise einem größeren Risiko ausgesetzt, wenn Administratoren Benutzern erlauben, E-Mails auf Servern zu durchsuchen und zu lesen. Bewährte Methoden raten jedoch dringend davon ab, dies zuzulassen.

Das Update behebt die Sicherheitsanfälligkeit, indem es sicherstellt, dass betroffene Versionen des Internets Explorer die ASLR-Sicherheitsfunktion ordnungsgemäß implementieren.

Die folgende Tabelle enthält Links zum Standardeintrag für die einzelnen Sicherheitsrisiken in der Liste Allgemeiner Sicherheitsrisiken:

Titel der Sicherheitslücke CVE-Nummer Öffentlich offengelegt Genutzt
Sicherheitsrisiko bei Umgehung von Internet Explorer ASLR CVE-2014-6368 No No

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehung

Microsoft hat keine Problemumgehungen für dieses Sicherheitsrisiko identifiziert.

Sicherheitsanfälligkeit in VBScript bezüglich Speicherbeschädigung – CVE-2014-6363

Eine Sicherheitsanfälligkeit bei der Remotecodeausführung besteht darin, dass die VBScript-Engine beim Rendern im Internet Explorer Objekte im Arbeitsspeicher verarbeitet. Die Sicherheitsanfälligkeit kann den Arbeitsspeicher so beschädigen, dass ein Angreifer beliebigen Code im Kontext des aktuellen Benutzers ausführen kann.

Ein Angreifer könnte eine speziell gestaltete Website hosten, die diese Sicherheitsanfälligkeit über das Internet Explorer ausnutzen und dann einen Benutzer davon überzeugen soll, die Website anzuzeigen. Ein Angreifer könnte auch ein ActiveX-Steuerelement einbetten, das als "sicher für die Initialisierung" gekennzeichnet ist, in eine Anwendung oder ein Microsoft Office-Dokument, das die IE-Rendering-Engine hostet. Der Angreifer könnte auch kompromittierte Websites und Websites nutzen, die vom Benutzer bereitgestellte Inhalte oder Werbung akzeptieren oder hosten, indem er speziell gestaltete Inhalte hinzufügt, die diese Sicherheitsanfälligkeit ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer dazu zu zwingen, die von Angreifern kontrollierten Inhalte anzuzeigen. Stattdessen müsste ein Angreifer Benutzer davon überzeugen, Maßnahmen zu ergreifen, in der Regel durch Klicken auf einen Link in einer E-Mail-Nachricht oder in einer Instant Messenger-Nachricht, die Benutzer zur Website des Angreifers führt, oder durch Öffnen einer anlage, die per E-Mail gesendet wurde.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann dieselben Benutzerrechte wie der aktuelle Benutzer erhalten. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Systeme, auf denen das Internet Explorer häufig verwendet wird, z. B. Arbeitsstationen oder Terminalserver, sind von dieser Sicherheitsanfälligkeit am meisten gefährdet.

Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie das VBScript-Skriptmodul Objekte im Arbeitsspeicher verarbeitet.

Die folgende Tabelle enthält Links zum Standardeintrag für die einzelnen Sicherheitsrisiken in der Liste Allgemeiner Sicherheitsrisiken:

Titel der Sicherheitslücke CVE-Nummer Öffentlich offengelegt Genutzt
VbScript: Sicherheitsrisiko für Speicherbeschädigung CVE-2014-6363 No No

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehung

Microsoft hat keine Problemumgehungen für dieses Sicherheitsrisiko identifiziert.

Häufig gestellte Fragen

**Ich verwende Internet Explorer für Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 oder Windows Server 2012 R2. Entschärft dies diese Sicherheitsanfälligkeit? 
**Ja. Standardmäßig wird internet Explorer unter Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 und Windows Server 2012 R2 in einem eingeschränkten Modus ausgeführt, der als erweiterte Sicherheitskonfiguration bezeichnet wird. Die erweiterte Sicherheitskonfiguration ist eine Gruppe vorkonfigurierter Einstellungen in Internet Explorer, die die Wahrscheinlichkeit verringern können, dass ein Benutzer oder Administrator speziell gestaltete Webinhalte auf einem Server herunterlädt und ausführt. Dies ist ein Minderungsfaktor für Websites, die Sie nicht der Zone Internet Explorer Vertrauenswürdige Websites hinzugefügt haben.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen von Personen in der Sicherheitscommunity an, die uns helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter Bestätigungen .

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Gewährleistung "wie ben" bereitgestellt. Microsoft lehnt jegliche Gewährleistungen ab, sei es ausdrücklich oder stillschweigend, einschließlich der Gewährleistungen der Marktgängigkeit und Eignung für einen bestimmten Zweck. In keinem Fall haften Die Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder besonderen Schäden, auch wenn Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Einige Staaten lassen den Ausschluss oder die Beschränkung der Haftung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

  • V1.0 (9. Dezember 2014): Bulletin veröffentlicht.
  • V2.0 (13. Januar 2015): Um Probleme mit Sicherheitsupdates 3008923 zu beheben, hat Microsoft MS14-080 erneut veröffentlicht, um CVE-2014-6363 umfassend zu behandeln. Kunden, die Internet Explorer 10 unter Windows 8, Windows Server 2012 oder Windows RT ausführen, sollten zusätzlich zur Installation von Update-3008923 auch update 3029449 installieren, das mit dieser erneuten Version hinzugefügt wurde. Kunden, die das 3008923-Update bereits erfolgreich installiert haben, das sich seit der ursprünglichen Version nicht geändert hat, müssen es nicht erneut installieren. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 3008923 .
  • V3.0 (14. April 2015): Um Probleme mit dem 3008923 Sicherheitsupdate umfassend zu beheben, sollten Kunden, die Internet Explorer 11 unter Windows 7 oder Windows Server 2008 R2 ausführen, auch das 3038314 Sicherheitsupdate installieren, das am 14. April 2015 veröffentlicht wurde. Weitere Informationen finden Sie unter MS15-032 , oder verwenden Sie die folgenden Microsoft Download Center-Links für Ihre spezifische Konfiguration:

Seite generiert am 09.04.2015 15:17Z-07:00.