Microsoft Security Bulletin MS15-110 – Wichtig
Security Updates for Microsoft Office to Address Remote Code Execution (3096440)
Veröffentlicht: 13. Oktober 2015
Version: 1.0
Kurzfassung
Dieses Sicherheitsupdate behebt Sicherheitsrisiken in Microsoft Office. Die schwerwiegendste der Sicherheitsrisiken kann die Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Microsoft Office-Datei öffnet. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Kunden, deren Konten so konfiguriert sind, dass sie über weniger Benutzerrechte auf dem System verfügen, sind möglicherweise weniger betroffen als Benutzer mit Administratorrechten.
Dieses Sicherheitsupdate wird für alle unterstützten Editionen der folgenden Software als Wichtig eingestuft:
- Microsoft Excel 2007, Microsoft Visio 2007
- Microsoft Excel 2010, Microsoft Visio 2010
- Microsoft Excel 2013, Microsoft Excel 2013 RT
- Microsoft Excel 2016
- Microsoft Excel für Mac 2011
- Microsoft Excel 2016 für Mac
- Microsoft Excel-Viewer, Microsoft Office Compatibility Pack
- Excel Services auf Microsoft SharePoint Server 2007
- Excel Services auf Microsoft SharePoint Server 2010, Microsoft Web App 2010, Microsoft Excel Web App 2010
- Excel Services auf Microsoft SharePoint Server 2013, Microsoft Office Web-Apps Server 2013
- Microsoft SharePoint Server 2007
- Microsoft SharePoint Server 2010
- Microsoft SharePoint Server 2013, Microsoft SharePoint Foundation 2013
Weitere Informationen finden Sie im Abschnitt Bewertungen betroffener Software und Schweregrad für Sicherheitsrisiken .
Das Sicherheitsupdate behebt die Sicherheitsrisiken wie folgt:
- Korrigieren der Behandlung von Objekten im Arbeitsspeicher durch Office
- Sicherstellen, dass SharePoint-InfoPath Forms Services DTD-Entitäten ordnungsgemäß verarbeitet
- Sicherstellen, dass Webanforderungen von Office Web-Apps Server ordnungsgemäß bereinigt werden
- Ändern der Art und Weise, wie SharePoint Webanforderungen bereinigen
Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt Informationen zu Sicherheitsrisiken .
Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3096440.
Schweregrad der betroffenen Software und Bewertungen des Sicherheitsrisikos
Die folgenden Softwareversionen oder -editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, haben entweder ihren Supportlebenszyklus hinter sich oder sind nicht betroffen. Informationen zum Bestimmen des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.
Bei den folgenden Schweregradbewertungen wird die potenzielle maximale Auswirkung der Sicherheitsanfälligkeit vorausgesetzt. Informationen zur Wahrscheinlichkeit der Ausnutzbarkeit des Sicherheitsrisikos in Bezug auf den Schweregrad und die Auswirkungen auf die Sicherheit innerhalb von 30 Tagen nach der Veröffentlichung dieses Security Bulletins finden Sie im Ausnutzungsindex im Bulletin Summary vom Oktober.
Microsoft Office-Software
| Bewertung des Sicherheitsrisikoschweregrads und maximale Auswirkungen auf die Sicherheit durch betroffene Software | ||||
|---|---|---|---|---|
| Betroffene Software | Sicherheitsanfälligkeit in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2555 | Sicherheitsanfälligkeit in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2557 | Sicherheitsanfälligkeit in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2558 | Updates ersetzt* |
| Microsoft Office 2007 | ||||
| Microsoft Excel 2007 Service Pack 3 (3085615) | Nicht verfügbar | Nicht verfügbar | WichtigRemotecodeausführung | 3085543 in MS15-099 |
| Microsoft Visio 2007 Service Pack 3 (3085542) | Nicht verfügbar | WichtigRemotecodeausführung | Nicht verfügbar | 2965280 in MS15-081 |
| Microsoft Office 2010 | ||||
| Microsoft Excel 2010 Service Pack 2 (32-Bit-Editionen) (3085609) | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | 3085526 in MS15-099 |
| Microsoft Excel 2010 Service Pack 2 (64-Bit-Editionen) (3085609) | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | 3085526 in MS15-099 |
| Microsoft Visio 2010 Service Pack 2 (32-Bit-Editionen) (3085514) | Nicht verfügbar | WichtigRemotecodeausführung | Nicht verfügbar | 3054876 in MS15-081 |
| Microsoft Visio 2010 Service Pack 2 (64-Bit-Editionen) (3085514) | Nicht verfügbar | WichtigRemotecodeausführung | Nicht verfügbar | 3054876 in MS15-081 |
| Microsoft Office 2013 | ||||
| Microsoft Excel 2013 Service Pack 1 (32-Bit-Editionen) (3085583) | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | 3085502 in MS15-099 |
| Microsoft Excel 2013 Service Pack 1 (64-Bit-Editionen) (3085583) | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | 3085502 in MS15-099 |
| Microsoft Office 2013 RT | ||||
| Microsoft Excel 2013 RT Service Pack 1 (3085583)[1] | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | 3085502 in MS15-099 |
| Microsoft Office 2016 | ||||
| Microsoft Excel 2016 (32-Bit-Edition) (2920693) | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | Keine |
| Microsoft Excel 2016 (64-Bit-Edition) (2920693) | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | Keine |
| Microsoft Office für Mac 2011 | ||||
| Microsoft Excel für Mac 2011 (3097266) | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | 3088501 in MS15-099 |
| Microsoft Office 2016 für Mac | ||||
| Microsoft Excel 2016 für Mac (3097264) | WichtigRemotecodeausführung | Nicht verfügbar | WichtigRemotecodeausführung | 3088502 in MS15-099 |
| Andere Office-Software | ||||
| Microsoft Excel Viewer (3085619) | Nicht verfügbar | Nicht verfügbar | WichtigRemotecodeausführung | 3054995 in MS15-099 |
| Microsoft Office Compatibility Pack Service Pack 3 (3085618) | Nicht verfügbar | Nicht verfügbar | WichtigRemotecodeausführung | 3054993 in MS15-099 |
[1]Dieses Update ist über Windows Update verfügbar.
*Die Spalte Updates Ersetzt zeigt nur das neueste Update in einer Kette abgelöster Updates an. Eine umfassende Liste der ersetzten Updates finden Sie im Microsoft Update-Katalog, suchen Sie nach der Update-KB-Nummer, und zeigen Sie dann Updatedetails an (Informationen zu den ersetzten Updates finden Sie auf der Registerkarte Paketdetails ).
Microsoft Office-Dienste und Web-Apps
| Bewertung des Sicherheitsrisikoschweregrads und maximale Auswirkungen auf die Sicherheit durch betroffene Software | ||||
|---|---|---|---|---|
| Betroffene Software | Sicherheitsanfälligkeit in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2555 | Sicherheitsanfälligkeit in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2558 | Sicherheitsanfälligkeit in Microsoft Office Web-Apps XSS Spoofing – CVE-2015-6037 | Updates ersetzt* |
| Microsoft SharePoint Server 2007 | ||||
| Excel Services auf Microsoft SharePoint Server 2007 Service Pack 3 (32-Bit-Editionen) (3054994) | Nicht verfügbar | WichtigRemotecodeausführung | Nicht verfügbar | 2837612 in MS15-070 |
| Excel Services auf Microsoft SharePoint Server 2007 Service Pack 3 (64-Bit-Editionen) (3054994) | Nicht verfügbar | WichtigRemotecodeausführung | Nicht verfügbar | 2837612 in MS15-070 |
| Microsoft SharePoint Server 2010 | ||||
| Excel Services auf Microsoft SharePoint Server 2010 Service Pack 2 (3085596) | WichtigRemotecodeausführung | WichtigRemotecodeausführung | WichtigSpoofing | 3054968 in MS15-070 |
| Microsoft SharePoint Server 2013 | ||||
| Excel Services auf Microsoft SharePoint Server 2013 Service Pack 1 (3085568) | WichtigRemotecodeausführung | WichtigRemotecodeausführung | WichtigSpoofing | 3085483 in MS15-099 |
| Microsoft Office Web-Apps 2010 | ||||
| Microsoft Office Web-Apps 2010 Service Pack 2 (3085520) | Nicht verfügbar | Nicht verfügbar | WichtigSpoofing | 3054974 in MS15-081 |
| Microsoft Excel Web App 2010 Service Pack 2 (3085595) | Nicht verfügbar | Nicht verfügbar | WichtigSpoofing | 3054838 in MS15-046 |
| Microsoft Office Web-Apps 2013 | ||||
| Microsoft Office Web-Apps Server 2013 Service Pack 1 (3085571) | Nicht verfügbar | Nicht verfügbar | WichtigSpoofing | 3085487 in MS15-099 |
*Die Spalte Updates Ersetzt zeigt nur das neueste Update in einer Kette abgelöster Updates an. Eine umfassende Liste der ersetzten Updates finden Sie im Microsoft Update-Katalog, suchen Sie nach der Update-KB-Nummer, und zeigen Sie dann Updatedetails an (Informationen zu den ersetzten Updates finden Sie auf der Registerkarte Paketdetails ).
Microsoft Server-Software
| Bewertung des Sicherheitsrisikoschweregrads und maximale Auswirkungen auf die Sicherheit durch betroffene Software | ||||
|---|---|---|---|---|
| Betroffene Software | Sicherheitsanfälligkeit in Microsoft SharePoint bezüglich Offenlegung von Informationen – CVE-2015-2556 | Microsoft SharePoint-Sicherheitsfeatureumgehung – CVE-2015-6039 | Sicherheitsanfälligkeit in Microsoft Office Web-Apps XSS Spoofing – CVE-2015-6037 | Updates ersetzt* |
| Microsoft SharePoint Server 2007 | ||||
| Microsoft SharePoint Server 2007 Service Pack 3 (32-Bit-Editionen) (2596670) | WichtigOffenlegung von Informationen | Nicht verfügbar | Nicht verfügbar | Keine |
| Microsoft SharePoint Server 2007 Service Pack 3 (64-Bit-Editionen) (2596670) | WichtigOffenlegung von Informationen | Nicht verfügbar | Nicht verfügbar | Keine |
| Microsoft SharePoint Server 2010 | ||||
| Microsoft SharePoint Server 2010 Service Pack 2 (2553405) | WichtigOffenlegung von Informationen | Nicht verfügbar | Nicht verfügbar | Keine |
| Microsoft SharePoint Server 2013 | ||||
| Microsoft SharePoint Server 2013 Service Pack 1 (3085567) | Nicht verfügbar | WichtigUmgehung von Sicherheitsfeatures | Nicht verfügbar | 2965219 in MS15-036 |
| Microsoft SharePoint Foundation 2013 Service Pack 1 (3085582) | Nicht verfügbar | WichtigUmgehung von Sicherheitsfeatures | WichtigSpoofing | 3085501 in MS15-099 |
*Die Spalte Updates Ersetzt zeigt nur das neueste Update in einer Kette abgelöster Updates an. Eine umfassende Liste der ersetzten Updates finden Sie im Microsoft Update-Katalog, suchen Sie nach der Update-KB-Nummer, und zeigen Sie dann Updatedetails an (Informationen zu den ersetzten Updates finden Sie auf der Registerkarte Paketdetails ).
Häufig gestellte Fragen zum Aktualisieren
Enthält dieses Update zusätzliche sicherheitsbezogene Änderungen an der Funktionalität?
Ja. Zusätzlich zu den Änderungen, die für die in diesem Bulletin beschriebenen Sicherheitsrisiken aufgeführt sind, enthält dieses Update umfassende Updates zur Verteidigung, um Microsoft Office sicherer zu machen.
Mir wird dieses Update für Software angeboten, die in der Tabelle "Bewertungen betroffener Software und Sicherheitsrisikoschweregrad" nicht ausdrücklich als betroffen angegeben ist. Warum wird mir dieses Update angeboten?
Wenn Updates anfälligen Code behandeln, der in einer Komponente vorhanden ist, die von mehreren Microsoft Office-Produkten oder von mehreren Versionen desselben Microsoft Office-Produkts gemeinsam genutzt wird, gilt das Update als für alle unterstützten Produkte und Versionen, die die anfällige Komponente enthalten.
Wenn beispielsweise ein Update für Microsoft Office 2007-Produkte gilt, kann in der Tabelle Betroffene Software nur Microsoft Office 2007 aufgeführt werden. Das Update kann jedoch für Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer oder jedes andere Microsoft Office 2007-Produkt gelten, das nicht ausdrücklich in der Tabelle "Betroffene Software" aufgeführt ist.
Wenn beispielsweise ein Update für Microsoft Office 2010-Produkte gilt, kann in der Tabelle Betroffene Software nur Microsoft Office 2010 aufgeführt werden. Das Update kann jedoch für Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer oder jedes andere Microsoft Office 2010-Produkt gelten, das nicht ausdrücklich in der Tabelle Betroffene Software aufgeführt ist.
Wenn beispielsweise ein Update für Microsoft Office 2013-Produkte gilt, kann in der Tabelle Betroffene Software nur Microsoft Office 2013 aufgeführt werden. Das Update kann jedoch für Microsoft Word 2013, Microsoft Excel 2013, Microsoft Visio 2013 oder ein anderes Microsoft Office 2013-Produkt gelten, das nicht ausdrücklich in der Tabelle Betroffene Software aufgeführt ist.
Informationen zu Sicherheitsrisiken
Mehrere Microsoft Office-Speicherbeschädigungsrisiken
Sicherheitsrisiken bei der Remotecodeausführung liegen in Microsoft Office-Software vor, wenn die Office-Software Objekte im Arbeitsspeicher nicht ordnungsgemäß verarbeitet. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer Kontrolle über das betroffene System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.
Die Ausnutzung dieser Sicherheitsrisiken erfordert, dass ein Benutzer eine speziell erstellte Datei mit einer betroffenen Version der Microsoft Office-Software öffnet. In einem E-Mail-Angriffsszenario könnte ein Angreifer die Sicherheitsrisiken ausnutzen, indem er die speziell gestaltete Datei an den Benutzer sendet und den Benutzer dazu verredet, die Datei zu öffnen. In einem webbasierten Angriffsszenario kann ein Angreifer eine Website hosten (oder eine kompromittierte Website nutzen, die vom Benutzer bereitgestellte Inhalte akzeptiert oder hostet), die eine speziell gestaltete Datei enthält, die zur Ausnutzung der Sicherheitsrisiken entwickelt wurde. Ein Angreifer hätte keine Möglichkeit, Benutzer zum Besuch der Website zu zwingen. Stattdessen müsste ein Angreifer die Benutzer dazu bringen, auf einen Link zu klicken, in der Regel durch eine Verlockung in einer E-Mail oder Instant Messenger-Nachricht, und sie dann dazu bringen, die speziell gestaltete Datei zu öffnen.
Das Sicherheitsupdate behebt die Sicherheitsrisiken, indem korrigiert wird, wie Office Objekte im Arbeitsspeicher behandelt.
Die folgenden Tabellen enthalten Links zum Standardeintrag für die einzelnen Sicherheitsrisiken in der Liste allgemeiner Sicherheitsrisiken und Offenlegungen:
| Titel der Sicherheitslücke | CVE-Nummer | Öffentlich zugänglich gemacht | Genutzt |
|---|---|---|---|
| Sicherheitsrisiko bei Microsoft Office-Speicherbeschädigung | CVE-2015-2555 | Nein | Nein |
| Sicherheitsrisiko bei Microsoft Office-Speicherbeschädigung | CVE-2015-2557 | Nein | Nein |
| Sicherheitsrisiko bei Microsoft Office-Speicherbeschädigung | CVE-2015-2558 | Nein | Nein |
Schadensbegrenzende Faktoren
Die folgenden mildernden Faktoren können in Ihrer Situation zutreffen:
- Ein Benutzer muss über gültige Anmeldeinformationen für die SharePoint-Zielwebsite verfügen. Beachten Sie, dass dies kein Minderungsfaktor ist, wenn die SharePoint-Website so konfiguriert ist, dass anonyme Benutzer auf die Website zugreifen können. Standardmäßig ist der anonyme Zugriff nicht aktiviert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.
Sicherheitsanfälligkeit in Microsoft SharePoint bezüglich Offenlegung von Informationen – CVE-2015-2556
Ein Sicherheitsrisiko bei der Offenlegung von Informationen liegt vor, wenn SharePoint InfoPath Forms Services die Dokumenttypdefinition (DTD) einer XML-Datei falsch analysiert. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausnutzt, kann den Inhalt beliebiger Dateien auf einem SharePoint-Server durchsuchen. Ein Angreifer muss über Schreibberechtigungen für eine Website verfügen, und InfoPath Services muss aktiviert sein, um die Sicherheitsanfälligkeit auszunutzen.
Ein Angreifer kann die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Datei auf eine Webseite hochlädt und dann eine speziell gestaltete Webanforderung an den SharePoint-Server sendet. Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem sichergestellt wird, dass SharePoint InfoPath Forms Services DTD-Entitäten ordnungsgemäß verarbeitet.
Microsoft hat durch koordinierte Offenlegung von Sicherheitsrisiken Informationen zu diesem Sicherheitsrisiko erhalten. Zum Zeitpunkt, zu dem dieses Security Bulletin ursprünglich veröffentlicht wurde, war Microsoft keine Kenntnis von Angriffen, die versuchten, diese Sicherheitsanfälligkeit auszunutzen.
Schadensbegrenzende Faktoren
Microsoft hat keine mildernden Faktoren für dieses Sicherheitsrisiko identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für dieses Sicherheitsrisiko identifiziert.
Sicherheitsanfälligkeit in Microsoft Office Web-Apps XSS Spoofing – CVE-2015-6037
Ein Spoofing-Sicherheitsrisiko liegt vor, wenn ein Office Web-Apps Server eine speziell gestaltete Anforderung nicht ordnungsgemäß bereinigt. Ein authentifizierter Angreifer kann die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Anforderung an einen betroffenen Office Web-Apps Server sendet. Der Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann dann websiteübergreifende Skriptangriffe auf betroffene Systeme ausführen und skripts im Sicherheitskontext des aktuellen Benutzers ausführen. Diese Angriffe könnten es dem Angreifer ermöglichen, Inhalte zu lesen, zu denen der Angreifer nicht berechtigt ist, zu lesen, die Identität des Opfers zu verwenden, um Aktionen auf der Office Web App-Website im Namen des Opfers auszuführen, z. B. Berechtigungen zu ändern, Inhalte zu löschen, vertrauliche Informationen (z. B. Browsercookies) zu stehlen und schädliche Inhalte in den Browser des Opfers einschleusen.
Damit diese Sicherheitsanfälligkeit ausgenutzt werden kann, muss ein Benutzer auf eine speziell gestaltete URL klicken, die den Benutzer zu einer Bestimmten Office Web App-Website führt. In einem E-Mail-Angriffsszenario kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine E-Mail-Nachricht mit der speziell gestalteten URL an den Benutzer der zielführenden Office Web App-Website sendet und den Benutzer dazu verredet, auf die speziell gestaltete URL zu klicken. In einem webbasierten Angriffsszenario muss ein Angreifer eine Website hosten, die eine speziell gestaltete URL für die Zielwebsite von Office Web App enthält, die zum Ausnutzen dieser Sicherheitsanfälligkeit verwendet wird. Außerdem können kompromittierte Websites und Websites, die von Benutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die die Sicherheitsanfälligkeit ausnutzen könnten. Ein Angreifer hätte keine Möglichkeit, Benutzer zum Besuch einer speziell gestalteten Website zu zwingen. Stattdessen müsste ein Angreifer ihn dazu bringen, die Website zu besuchen, in der Regel durch Klicken auf einen Link in einem Instant Messenger oder einer E-Mail-Nachricht, die ihn zur Website des Angreifers führt, und ihn dann dazu bringen, auf die speziell gestaltete URL zu klicken.
Das Sicherheitsupdate behebt das Sicherheitsrisiko, indem es sicherstellt, dass Office Web-Apps Server Webanforderungen ordnungsgemäß bereinigen kann. Microsoft hat durch koordinierte Offenlegung von Sicherheitsrisiken Informationen zu diesem Sicherheitsrisiko erhalten. Zum Zeitpunkt, zu dem dieses Security Bulletin ursprünglich veröffentlicht wurde, war Microsoft keine Kenntnis von Angriffen, die versuchten, diese Sicherheitsanfälligkeit auszunutzen.
Schadensbegrenzende Faktoren
Microsoft hat keine mildernden Faktoren für dieses Sicherheitsrisiko identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für dieses Sicherheitsrisiko identifiziert.
Sicherheitsrisiko bei Umgehung von Microsoft SharePoint-Sicherheitsfeatures – CVE-2015-6039
In Microsoft SharePoint ist eine Sicherheitslücke zur Umgehung von Sicherheitsfeatures vorhanden. Die Sicherheitsanfälligkeit wird verursacht, wenn Office Marketplace JavaScript-Code einfügen darf, der auf einer SharePoint-Seite beibehalten wird, da SharePoint nicht die entsprechende Berechtigungsstufe für eine Anwendung oder einen Benutzer erzwingt. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann dauerhafte cross-site-Scripting-Angriffe ausführen und Skripts (im Sicherheitskontext des angemeldeten Benutzers) mit schädlichen Inhalten ausführen, die authentisch erscheinen. Dies könnte es dem Angreifer ermöglichen, vertrauliche Informationen zu stehlen, einschließlich Authentifizierungscookies und kürzlich übermittelten Daten.
Um diese Sicherheitsanfälligkeit auszunutzen, muss ein Angreifer die Möglichkeit haben, den Marketplace instance zu aktualisieren. Der Angreifer könnte der Marketplace-App schädlichen Code hinzufügen, der dann an die verwendenden SharePoint-Instanzen gepusht werden könnte. Das böswillige Skript ermöglicht es dem Angreifer, Code zu aktualisieren, ohne die Berechtigungen auf SharePoint-Farm-/instance ebene durchlaufen zu müssen.
Das Sicherheitsupdate behebt das Sicherheitsrisiko, indem der SharePoint-Farm-/instance-Code geändert wird, um die entsprechende Berechtigungsstufe für eine Anwendung oder einen Benutzer zu erzwingen. Dieses Sicherheitsrisiko wurde öffentlich bekannt gemacht. Ihr wurde die Nummer "Allgemeine Sicherheitsanfälligkeit CVE-2015-6039" zugewiesen. Zum Zeitpunkt, als dieses Sicherheitsbulletin ursprünglich veröffentlicht wurde, war Microsoft nicht von angriffen bekannt, die versuchten, diese Sicherheitsanfälligkeit auszunutzen.
Mildernde Faktoren
Die folgenden mildernden Faktoren können in Ihrer Situation gelten:
- Ein Benutzer muss über die Berechtigungen Website verwalten und Unterwebsites erstellen verfügen, um eine App/ein Add-In für SharePoint hinzuzufügen. Standardmäßig sind diese Berechtigungen nur für Benutzer verfügbar, die über die Berechtigungsstufe Vollzugriff verfügen oder sich in der Gruppe Websitebesitzer befinden. Weitere Informationen zum Verwalten von SharePoint-Sicherheit und -Berechtigungen finden Sie unter Sicherheit und Berechtigungen (SharePoint 2013).
Problemumgehungen
Microsoft hat keine Problemumgehungen für dieses Sicherheitsrisiko identifiziert.
Bereitstellung von Sicherheitsupdates
Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung verwiesen wird.
Danksagungen
Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity an, die uns helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter Bestätigungen .
Haftungsausschluss
Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie "wie benährt" bereitgestellt. Microsoft lehnt alle ausdrücklichen oder impliziten Garantien ab, einschließlich der Gewährleistung der Marktgängigkeit und Eignung für einen bestimmten Zweck. Die Microsoft Corporation oder ihre Lieferanten haften in keinem Fall für Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder besonderen Schäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Beschränkung der Haftung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.
Revisionen
- V1.0 (13. Oktober 2015): Bulletin veröffentlicht.
Seite generiert 2015-10-13 08:33-07:00.