Microsoft Security Bulletin MS15-110 – Hoch

  • Artikel
  • 13 Minuten Lesedauer

Sicherheitsupdates für Microsoft Office zum Unterbinden von Remotecodeausführung (3096440)

Veröffentlicht: 13. Oktober 2015

Version: 1.0

Kurzzusammenfassung

Dieses Sicherheitsupdate behebt Sicherheitsanfälligkeiten in Microsoft Office. Die schwerwiegendste Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Microsoft Office-Datei öffnet. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Dieses Sicherheitsupdate wird alle unterstützten Editionen der folgenden Software als Wichtig eingestuft:

  • Microsoft Excel 2007, Microsoft Visio 2007
  • Microsoft Excel 2010, Microsoft Visio 2010
  • Microsoft Excel 2013, Microsoft Excel 2013 RT
  • Microsoft Excel 2016
  • Microsoft Excel für Mac 2011
  • Microsoft Excel 2016 für Mac
  • Microsoft Excel Viewer, Microsoft Office Compatibility Pack
  • Excel Services unter Microsoft SharePoint Server 2007
  • Excel Services unter Microsoft SharePoint Server 2010, Microsoft Web App 2010, Microsoft Excel Web App 2010
  • Excel Services unter Microsoft SharePoint Server 2013, Microsoft Office Web Apps Server 2013
  • Microsoft SharePoint Server 2007
  • Microsoft SharePoint Server 2010
  • Microsoft SharePoint Server 2013, Microsoft SharePoint Foundation 2013

Weitere Informationen finden Sie unter Betroffene Software und Bewertungen des Schweregrads der Sicherheitsanfälligkeit.

Das Update behebt die Sicherheitsanfälligkeiten durch:

  • Korrigieren, wie Office Objekte im Arbeitsspeicher verarbeitet
  • Sicherstellen, dass SharePoint InfoPath Forms Services DTD-Entitäten ordnungsgemäß verarbeitet
  • Sicherstellen, dass Office Web Apps Server Webanforderungen ordnungsgemäß bereinigt
  • Ändern der Art und Weise, wie SharePoint Webanforderungen bereinigt

Weitere Informationen zu diesen Sicherheitsanfälligkeiten finden Sie im Abschnitt Informationen zu Sicherheitsanfälligkeiten.

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3096440.

Betroffene Software und Bewertungen des Schweregrads der Sicherheitsanfälligkeit

Die folgenden Softwareversionen oder -Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, haben entweder das Ende ihres Supportlebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder Edition zu ermitteln. 

Bei der folgenden Bewertung des Schweregrads wird die potenzielle maximale Auswirkung der Sicherheitsanfälligkeit angenommen. Informationen zur Wahrscheinlichkeit der Ausnutzung der Sicherheitsanfälligkeit in Bezug auf die Bewertung des Schweregrads und die Sicherheitsauswirkung innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Ausnutzbarkeitsindex im Bulletin Summary für Oktober.  

Microsoft Office Software

**Bewertung des Schweregrads und maximale Sicherheitsauswirkung nach betroffener Software**
**Betroffene Software** [**Sicherheitsanfälligkeiten in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2555**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-2555) [**Sicherheitsanfälligkeiten in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2557**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-2557) [**Sicherheitsanfälligkeiten in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2558**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-2558) **Ersetzte Updates**\*
**Microsoft Office 2007**
[Microsoft Excel 2007 Service Pack 3](https://www.microsoft.com/download/details.aspx?familyid=e8a915a6-39ca-4a3b-98c3-224509a0091d) (3085615) Nicht anwendbar Nicht anwendbar **Hoch** Remotecodeausführung 3085543 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
[Microsoft Visio 2007 Service Pack 3](https://www.microsoft.com/download/details.aspx?familyid=0f545c5e-4954-4f50-94c2-5caebc27f668) (3085542) Nicht anwendbar **Hoch** Remotecodeausführung Nicht anwendbar 2965280 in [MS15-081](https://technet.microsoft.com/de-de/library/security/ms15-081)
**Microsoft Office 2010**
[Microsoft Excel 2010 Service Pack 2 (32-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=21af144d-7b5e-429c-ba29-94b224e75417) (3085609) **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung 3085526 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
[Microsoft Excel 2010 Service Pack 2 (64-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=32607a4b-e683-404a-8543-3612eb41ad13) (3085609) **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung 3085526 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
[Microsoft Visio 2010 Service Pack 2 (32-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=e61993b0-6ab9-4490-97be-72aed01bdf42) (3085514) Nicht anwendbar **Hoch** Remotecodeausführung Nicht anwendbar 3054876 in [MS15-081](https://technet.microsoft.com/de-de/library/security/ms15-081)
[Microsoft Visio 2010 Service Pack 2 (64-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=882a1734-7d58-49a0-b14f-764684ac5bca) (3085514) Nicht anwendbar **Hoch** Remotecodeausführung Nicht anwendbar 3054876 in [MS15-081](https://technet.microsoft.com/de-de/library/security/ms15-081)
**Microsoft Office 2013**
[Microsoft Excel 2013 Service Pack 1 (32-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=d70f1a1f-14c3-458a-83e9-a84ee460b08c) (3085583) **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung 3085502 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
[Microsoft Excel 2013 Service Pack 1 (64-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=b7c0d1f0-d3ba-4093-9ce2-ff8e7e80f858) (3085583) **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung 3085502 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
**Microsoft Office 2013 RT**
Microsoft Excel 2013 RT Service Pack 1 (3085583)[1] **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung 3085502 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
**Microsoft Office 2016**
[Microsoft Excel 2016 (32-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=24839f54-4ece-45bb-811d-c4cd0ffb3e61) (2920693) **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung Keine
[Microsoft Excel 2016 (64-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=4971215d-487f-4fd2-863e-969126e9f8d1) (2920693) **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung Keine
**Microsoft Office für Mac 2011**
[Microsoft Excel für Mac 2011](https://www.microsoft.com/download/details.aspx?familyid=5a5e6748-8bad-4c8d-85a7-5b2cb1c395db) (3097266) **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung 3088501 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
**Microsoft Office 2016 für Mac**
[Microsoft Excel 2016 für Mac](https://go.microsoft.com/fwlink/?linkid=625063) (3097264) **Hoch** Remotecodeausführung Nicht anwendbar **Hoch** Remotecodeausführung 3088502 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
**Weitere Office-Software**
[Microsoft Excel Viewer](https://www.microsoft.com/download/details.aspx?familyid=3cc15c73-c88a-4ef8-bd77-55c3de9ea238) (3085619) Nicht anwendbar Nicht anwendbar **Hoch** Remotecodeausführung 3054995 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
[Microsoft Office Compatibility Pack Service Pack 3](https://www.microsoft.com/downloads/details.aspx?familyid=9a8e341e-b632-4bce-b5d2-b137d6bdebcd) (3085618) Nicht anwendbar Nicht anwendbar **Hoch** Remotecodeausführung 3054993 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
[1]Dieses Update ist über [Windows Update](https://update.microsoft.com/microsoftupdate/v6/vistadefault.aspx?ln=de-de) erhältlich.

*Die Spalte „Ersetzte Updates‟ enthält nur das letzte Update einer Reihe ersetzter Updates. Eine umfassende Liste der ersetzten Updates finden Sie, wenn Sie zum Microsoft Update-Katalog wechseln, nach der Update-KB-Nummer suchen und dann die Updatedetails betrachten (die Informationen zu ersetzten Updates befinden sich auf der RegisterkartePaketdetails).

Microsoft Office-Dienste und Web Apps

**Bewertung des Schweregrads und maximale Sicherheitsauswirkung nach betroffener Software**
**Betroffene Software** [**Sicherheitsanfälligkeiten in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2555**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-2555) [**Sicherheitsanfälligkeiten in Microsoft Office bezüglich Speicherbeschädigung – CVE-2015-2558**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-2558) [**Spoofing-Sicherheitsanfälligkeit in Microsoft Office Web Apps durch siteübergreifende Skripterstellung – CVE-2015-6037**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-6037) **Ersetzte Updates**\*
**Microsoft SharePoint Server 2007**
[Excel Services unter Microsoft SharePoint Server 2007 Service Pack 3 (32-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=d3ebbaa1-75b7-4c45-9e83-9c157644a32e) (3054994) Nicht anwendbar **Hoch** Remotecodeausführung Nicht anwendbar 2837612 in [MS15-070](https://technet.microsoft.com/de-de/library/security/ms15-070)
[Excel Services unter Microsoft SharePoint Server 2007 Service Pack 3 (64-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=8e7e4b94-9536-4fb2-8621-5eb4cf891860) (3054994) Nicht anwendbar **Hoch** Remotecodeausführung Nicht anwendbar 2837612 in [MS15-070](https://technet.microsoft.com/de-de/library/security/ms15-070)
**Microsoft SharePoint Server 2010**
[Excel Services unter Microsoft SharePoint Server 2010 Service Pack 2](https://www.microsoft.com/download/details.aspx?familyid=732a839e-12bc-4990-bc9b-58810ff88e15) (3085596) **Hoch** Remotecodeausführung **Hoch** Remotecodeausführung **Hoch** Spoofing 3054968 in [MS15-070](https://technet.microsoft.com/de-de/library/security/ms15-070)
**Microsoft SharePoint Server 2013**
[Excel Services unter Microsoft SharePoint Server 2013 Service Pack 1](https://www.microsoft.com/download/details.aspx?familyid=9497619c-70d6-451e-abee-de9c338b84cf) (3085568) **Hoch** Remotecodeausführung **Hoch** Remotecodeausführung **Hoch** Spoofing 3085483 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
**Microsoft Office Web Apps 2010**
[Microsoft Web App 2010 Service Pack 2](https://www.microsoft.com/download/details.aspx?familyid=8e948f67-edeb-450d-9f12-03f0490ecdee) (3085520) Nicht anwendbar Nicht anwendbar **Hoch** Spoofing 3054974 in [MS15-081](https://technet.microsoft.com/de-de/library/security/ms15-081)
[Microsoft Excel Web App 2010 Service Pack 2](https://www.microsoft.com/download/details.aspx?familyid=daac5384-8f12-4954-9f9b-92856e3c6706) (3085595) Nicht anwendbar Nicht anwendbar **Hoch** Spoofing 3054838 in [MS15-046](https://technet.microsoft.com/de-de/library/security/ms15-046)
**Microsoft Office Web Apps 2013**
[Microsoft Office Web Apps Server 2013 Service Pack 1](https://www.microsoft.com/download/details.aspx?familyid=dec89476-69c6-4e56-96b4-cb3d1d13e997) (3085571) Nicht anwendbar Nicht anwendbar **Hoch** Spoofing 3085487 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
\*Die Spalte „Ersetzte Updates‟ enthält nur das letzte Update einer Reihe ersetzter Updates. Eine umfassende Liste der ersetzten Updates finden Sie, wenn Sie zum [Microsoft Update-Katalog](https://catalog.update.microsoft.com/v7/site/home.aspx) wechseln, nach der Update-KB-Nummer suchen und dann die Updatedetails betrachten (die Informationen zu ersetzten Updates befinden sich auf der Registerkarte**Paketdetails**).

Microsoft Server-Software

**Bewertung des Schweregrads und maximale Sicherheitsauswirkung nach betroffener Software**
**Betroffene Software** [**Sicherheitsanfälligkeit in Microsoft SharePoint bezüglich Offenlegung von Informationen – CVE-2015-2556**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-2556) [**Sicherheitsanfälligkeit in Microsoft SharePoint durch Umgehung von Sicherheitsfunktionen – CVE-2015-6039**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-6039) [**Spoofing-Sicherheitsanfälligkeit in Microsoft Office Web Apps durch siteübergreifende Skripterstellung – CVE-2015-6037**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-6037) **Ersetzte Updates**\*
**Microsoft SharePoint Server 2007**
[Microsoft SharePoint Server 2007 Service Pack 3 (32-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=e606b824-4e82-49ff-97f2-0114883654de) (2596670) **Hoch** Offenlegung von Informationen Nicht anwendbar Nicht anwendbar Keine
[Microsoft SharePoint Server 2007 Service Pack 3 (64-Bit-Editionen)](https://www.microsoft.com/download/details.aspx?familyid=62af08c5-8a7d-492c-a8e8-aa91c4fa58ce) (2596670) **Hoch** Offenlegung von Informationen Nicht anwendbar Nicht anwendbar Keine
**Microsoft SharePoint Server 2010**
[Microsoft SharePoint Server 2010 Service Pack 2](https://www.microsoft.com/download/details.aspx?familyid=a77b731b-4634-4ff5-bc23-729df4eb392b) (2553405) **Hoch** Offenlegung von Informationen Nicht anwendbar Nicht anwendbar Keine
**Microsoft SharePoint Server 2013**
[Microsoft SharePoint Server 2013 Service Pack 1](https://www.microsoft.com/download/details.aspx?familyid=90fbc672-b71d-4cdb-a41f-be28a8d986c9) (3085567) Nicht anwendbar **Hoch** Umgehung von Sicherheitsfunktionen Nicht anwendbar 2965219 in [MS15-036](https://technet.microsoft.com/de-de/library/security/ms15-036)
[Microsoft SharePoint Foundation 2013 Service Pack 1](https://www.microsoft.com/download/details.aspx?familyid=ad4cef6a-7a5b-42dd-8769-8b62cb34ae44) (3085582) Nicht anwendbar **Hoch** Umgehung von Sicherheitsfunktionen **Hoch** Spoofing 3085501 in [MS15-099](https://technet.microsoft.com/de-de/library/security/ms15-099)
\*Die Spalte „Ersetzte Updates‟ enthält nur das letzte Update einer Reihe ersetzter Updates. Eine umfassende Liste der ersetzten Updates finden Sie, wenn Sie zum [Microsoft Update-Katalog](https://catalog.update.microsoft.com/v7/site/home.aspx) wechseln, nach der Update-KB-Nummer suchen und dann die Updatedetails betrachten (die Informationen zu ersetzten Updates befinden sich auf der Registerkarte**Paketdetails**).

Häufig gestellte Fragen (FAQs) zu diesem Update

Enthält dieses Update auch andere sicherheitsbezogene Funktionsänderungen?
Ja. Zusätzlich zu den Änderungen, die für die in diesem Bulletin beschriebenen Sicherheitsanfälligkeiten aufgeführt sind, umfasst dieses Update Tiefenverteidigungsänderungen für Microsoft Office, um die sicherheitsbezogenen Funktionen dieses Produkts zu verbessern.

Dieses Update wird mir für Software angeboten, die in der Tabelle „Betroffene Software und Bewertungen des Schweregrads der Sicherheitsanfälligkeit‟ nicht als betroffene Software aufgeführt ist. Warum wird mir dieses Update angeboten?
Wenn Sicherheitsupdates anfälligen Code beheben, der in einer Komponente vorhanden ist, die von mehreren Microsoft Office-Produkten oder mehreren Versionen des gleichen Microsoft Office-Produkts gemeinsam verwendet wird, wird davon ausgegangen, dass das Update für alle unterstützten Produkte und Versionen gilt, die die gefährdete Komponente enthalten.

Wenn z. B. ein Update die Microsoft Office 2007-Produkte betrifft, wird nur Microsoft Office 2007 ausdrücklich in der Tabelle „Betroffene Software“ aufgeführt. Das Update kann aber auch Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer oder andere Microsoft Office 2007-Produkte betreffen, die nicht ausdrücklich in der Tabelle „Betroffene Software“ aufgeführt sind.

Wenn z. B. ein Update die Microsoft Office 2010-Produkte betrifft, wird nur Microsoft Office 2010 ausdrücklich in der Tabelle „Betroffene Software“ aufgeführt. Das Update kann aber auch Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer oder andere Microsoft Office 2010-Produkte betreffen, die nicht ausdrücklich in der Tabelle „Betroffene Software“ aufgeführt sind.

Wenn z. B. ein Update die Microsoft Office 2013-Produkte betrifft, wird nur Microsoft Office 2013 ausdrücklich in der Tabelle „Betroffene Software“ aufgeführt. Das Update kann aber auch auf Microsoft Word 2013, Microsoft Excel 2013, Microsoft Visio 2013, Microsoft Visio Viewer oder andere Microsoft Office 2013-Produkte zutreffen, die nicht ausdrücklich in der Tabelle „Betroffene Software“ aufgeführt sind.

Informationen zu Sicherheitsanfälligkeiten

Mehrere Sicherheitsanfälligkeiten in Microsoft Office bezüglich Speicherbeschädigung

In der Microsoft Office-Software bestehen Sicherheitsanfälligkeiten bezüglich Remotecodeausführung, wenn die Office-Software Objekte im Speicher nicht ordnungsgemäß verarbeitet. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Wenn der aktuelle Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer Kontrolle über das betroffene System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Benutzer mit Konten, die über weniger Systemrechte verfügen, sind davon möglicherweise weniger betroffen als Benutzer mit Administratorrechten.

Die Ausnutzung dieser Sicherheitsanfälligkeiten erfordert, dass ein Benutzer eine speziell gestaltete Datei mit einer betroffenen Version der Microsoft Office-Software öffnet. Bei einem E-Mail-Angriff kann ein Angreifer diese Sicherheitsanfälligkeiten ausnutzen, indem er eine speziell gestaltete Datei an den Benutzer sendet und ihn dazu verleitet, die Datei zu öffnen. In einem webbasierten Angriffsszenario kann ein Angreifer eine Website einrichten (oder eine manipulierte Website nutzen, die von Benutzern bereitgestellte Inhalte akzeptiert oder hostet), die eine speziell gestaltete Datei enthält, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer bestimmten Website zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, auf einen Link zu klicken. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht zu klicken, der die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, die speziell gestaltete Datei zu öffnen.

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie Office Objekte im Speicher verarbeitet.

Die folgenden Tabellen enthalten Links zum Standardeintrag für einzelnen Sicherheitsanfälligkeiten in der Liste allgemeiner Sicherheitsanfälligkeiten:

Titel der Sicherheitsanfälligkeit CVE-Nummer Öffentlich gemeldet Ausgenutzt
Sicherheitsanfälligkeit in Microsoft Office bzgl. Speicherbeschädigung CVE-2015-2555 Nein Nein
Sicherheitsanfälligkeit in Microsoft Office bzgl. Speicherbeschädigung CVE-2015-2557 Nein Nein
Sicherheitsanfälligkeit in Microsoft Office bzgl. Speicherbeschädigung CVE-2015-2558 Nein Nein
  ### Schadensbegrenzende Faktoren Die folgenden [schadensbegrenzenden Faktoren](https://technet.microsoft.com/de-de/library/security/dn848375.aspx) könnten hilfreich für Sie sein: - Der Benutzer muss über gültige Anmeldeinformationen für die SharePoint-Zielwebsite verfügen. Dies ist kein schadensbegrenzender Faktor, wenn die SharePoint-Website so konfiguriert ist, dass anonymen Benutzern Zugriff auf die Website gewährt wird. Standardmäßig ist der anonyme Zugriff nicht aktiviert. ### Problemumgehungen Für diese Sicherheitsanfälligkeiten gibt es bislang keine [Problemumgehungen](https://technet.microsoft.com/de-de/library/security/dn848375.aspx).  Sicherheitsanfälligkeit in Microsoft SharePoint bezüglich Offenlegung von Informationen – CVE-2015-2556 ------------------------------------------------------------------------------------------------------- Es besteht eine Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen, wenn SharePoint InfoPath Forms Services die [Dokumenttypdefinition (DTD)](https://technet.microsoft.com/de-de/library/security/dn848375.aspx) einer XML-Datei nicht ordnungsgemäß analysiert. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausnutzt, könnte die Inhalte beliebiger Dateien auf einem SharePoint-Server durchsuchen. Um die Sicherheitsanfälligkeit ausnutzen zu können, muss ein Angreifer über Schreibberechtigungen für die Website verfügen und InfoPath Services muss aktiviert sein. Ein Angreifer könnte die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Datei in eine Webseite hochlädt und dann eine speziell gestaltete Webanforderung an den SharePoint-Server sendet. Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem sichergestellt wird, dass SharePoint InfoPath Forms Services DTD-Entitäten ordnungsgemäß verarbeitet. Microsoft hat durch eine koordinierte Offenlegung der Sicherheitsanfälligkeit Informationen zu dieser Sicherheitsanfälligkeit erhalten. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen über Angriffe vor, mit denen versucht wird, diese Sicherheitsanfälligkeit auszunutzen. ### Schadensbegrenzende Faktoren Für diese Sicherheitsanfälligkeit gibt es noch keine [schadensbegrenzenden Faktoren](https://technet.microsoft.com/de-de/library/security/dn848375.aspx). ### Problemumgehungen Für diese Sicherheitsanfälligkeit gibt es noch keine [Problemumgehungen](https://technet.microsoft.com/de-de/library/security/dn848375.aspx). Spoofing-Sicherheitsanfälligkeit in Microsoft Office Web Apps durch siteübergreifende Skripterstellung – CVE-2015-6037 ---------------------------------------------------------------------------------------------------------------------- Es besteht eine Spoofing-Sicherheitsanfälligkeit, wenn Office Web Apps Server eine speziell gestaltete Anforderung nicht ordnungsgemäß bereinigt. Ein authentifizierter Angreifer könnte die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Anforderung an Office Web Apps Server sendet. Der Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann auf betroffenen Systemen Angriffe durch siteübergreifende Skripterstellung durchführen und Skripts im Sicherheitskontext des aktuellen Benutzers ausführen. Diese Angriffe können es dem Angreifer ermöglichen, Inhalte zu lesen, für die er keine Leseberechtigungen besitzt, die Identität des Opfers zu verwenden, um im Namen des Opfers Aktionen auf der Office Web App-Website auszuführen, wie z. B. Berechtigungen ändern, Inhalte löschen und vertrauliche Daten stehlen (z. B. Browser-Cookies) und schädlichen Inhalt in den Browser des Opfers zu injizieren. Damit diese Sicherheitsanfälligkeit ausgenutzt werden kann, muss ein Benutzer auf eine speziell gestaltete URL klicken, die den Benutzer zu einer betroffenen Office Web App-Website führt. In einem E-Mail-Angriffsszenario kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine E-Mail-Nachricht mit der speziell gestalteten URL an den Benutzer der betroffenen Office Web App-Website sendet und den Benutzer dazu verleitet, auf die speziell gestaltete URL zu klicken. In einem webbasierten Angriffsszenario muss der Angreifer eine Website hosten, die eine speziell gestaltete URL zur betroffenen Office Web App-Website enthält, mit der versucht wird, diese Sicherheitsanfälligkeit auszunutzen. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann. Ein Angreifer kann Benutzer nicht zum Besuch einer speziell gestalteten Website zwingen. Stattdessen muss ein Angreifer Benutzer dazu verleiten, die Website zu besuchen. Zu diesem Zweck werden die Benutzer normalerweise dazu gebracht, auf einen Link in einer Instant Messenger-Nachricht oder E-Mail-Nachricht zu klicken, der die Benutzer zur Website des Angreifers führt. Dort werden die Benutzer dazu verleitet, auf die speziell gestaltete URL zu klicken. Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem sichergestellt wird, dass Office Web Apps Server Webanforderungen ordnungsgemäß bereinigt. Microsoft hat durch eine koordinierte Offenlegung der Sicherheitsanfälligkeit Informationen zu dieser Sicherheitsanfälligkeit erhalten. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen über Angriffe vor, mit denen versucht wird, diese Sicherheitsanfälligkeit auszunutzen. ### Schadensbegrenzende Faktoren Für diese Sicherheitsanfälligkeit gibt es noch keine [schadensbegrenzenden Faktoren](https://technet.microsoft.com/de-de/library/security/dn848375.aspx). ### Problemumgehungen Für diese Sicherheitsanfälligkeit gibt es noch keine [Problemumgehungen](https://technet.microsoft.com/de-de/library/security/dn848375.aspx). Sicherheitsanfälligkeit in Microsoft SharePoint durch Umgehung von Sicherheitsfunktionen – CVE-2015-6039 -------------------------------------------------------------------------------------------------------- In Microsoft SharePoint liegt eine Sicherheitsanfälligkeit durch Umgehung von Sicherheitsfunktionen en vor. Die Sicherheitsanfälligkeit tritt auf, wenn zugelassen wird, dass Office Marketplace persistenten JavaScript-Code in eine SharePoint-Seite injiziert, da SharePoint nicht die entsprechende Berechtigungsstufe für Anwendungen oder Benutzer erzwingt. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann beständige Angriffe durch siteübergreifende Skripterstellung durchführen und Skripts (im Sicherheitskontext des aktuellen Benutzers) mit schädlichem Inhalt ausführen, der scheinbar authentisch ist. Dies könnte es dem Angreifer erlauben, vertrauliche Informationen, einschließlich Authentifizierungscookies, und kürzlich übermittelte Daten zu stehlen. Um diese Sicherheitsanfälligkeit ausnutzen zu können, muss ein Angreifer die Marketplace-Instanz aktualisieren können. Der Angreifer könnte schädlichen Code der Marketplace-App hinzufügen, die dann mithilfe von Push an die SharePoint-Nutzerinstanzen übertragen werden könnte. Das schädliche Skript würde es dem Angreifer ermöglichen, Code zu aktualisieren, ohne über Berechtigungen für die SharePoint-Farm bzw. Berechtigungen auf Instanzenebene zu verfügen. Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem der Code der SharePoint-Farm bzw. SharePoint-Instanz so geändert wird, dass die geeignete Berechtigungsstufe für Anwendungen oder Benutzer erzwungen wird. Diese Sicherheitsanfälligkeit wurde öffentlich bekannt gegeben. Ihr wurde die Nummer für allgemeine Sicherheitsanfälligkeit [CVE-2015-6039](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-6039) zugewiesen. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen über Angriffe vor, mit denen versucht wird, diese Sicherheitsanfälligkeit auszunutzen. ### Schadensbegrenzende Faktoren Die folgenden [schadensbegrenzenden Faktoren](https://technet.microsoft.com/de-de/library/security/dn848375.aspx) könnten hilfreich für Sie sein: - Benutzer müssen über die Berechtigung „Website verwalten‟ und „Unterwebsites erstellen‟, um eine App oder ein Add-In für SharePoint hinzufügen zu können. Standardmäßig sind diese Berechtigungen nur für Benutzer verfügbar, die über die Berechtigungsstufe „Vollzugriff‟ verfügen oder Mitglied der Gruppe „Websitebesitzer‟ sind. Weitere Informationen zum Verwalten der SharePoint-Sicherheit und -Berechtigungen finden Sie unter [Sicherheit und Berechtigungen (SharePoint 2013)](https://technet.microsoft.com/de-de/library/cc261869.aspx). ### Problemumgehungen Für diese Sicherheitsanfälligkeit gibt es noch keine [Problemumgehungen](https://technet.microsoft.com/de-de/library/security/dn848375.aspx). Bereitstellung von Sicherheitsupdates  -------------------------------------- Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den [hier](#kbarticle) in der Kurzzusammenfassung verwiesen wird. Danksagung ---------- Microsoft würdigt die Bemühungen derjenigen Benutzer der Sicherheitscommunity, die uns dabei helfen, Kunden durch eine koordinierte Offenlegung von Sicherheitsanfälligkeiten zu schützen. Weitere Informationen finden Sie unter [Danksagung](https://technet.microsoft.com/de-de/library/security/dn903755.aspx).  Haftungsausschluss ------------------ Die Informationen in der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für Sie. Revisionen ---------- - V1.0 (13. Oktober 2015): Bulletin veröffentlicht. *Seite generiert am 07.10.2015 um 11:58:00-07:00.*