Microsoft Security Bulletin MS15-129 – Kritisch
Sicherheitsupdate für Silverlight zum Beheben der Remotecodeausführung (3106614)
Veröffentlicht: 8. Dezember 2015
Version: 1.0
Kurzfassung
Dieses Sicherheitsupdate behebt Sicherheitsrisiken in Microsoft Silverlight. Die schwerwiegendsten Sicherheitsrisiken können Remotecodeausführung ermöglichen, wenn Microsoft Silverlight bestimmte offene und schließende Anforderungen fälschlicherweise verarbeitet, was zu Verstößen gegen Lese- und Schreibzugriff führen kann. Um die Sicherheitsanfälligkeit auszunutzen, könnte ein Angreifer eine Website hosten, die eine speziell gestaltete Silverlight-Anwendung enthält, und dann einen Benutzer davon überzeugen, eine kompromittierte Website zu besuchen. Der Angreifer könnte auch Websites nutzen, die speziell gestaltete Inhalte enthalten, einschließlich solcher, die vom Benutzer bereitgestellte Inhalte oder Werbung akzeptieren oder hosten.
Ein Angreifer hätte keine Möglichkeit, Benutzer dazu zu zwingen, eine kompromittierte Website zu besuchen. Stattdessen müsste ein Angreifer einen Benutzer davon überzeugen, Maßnahmen zu ergreifen, z. B. durch Klicken auf einen Link, der den Benutzer zur Website des Angreifers führt.
Dieses Sicherheitsupdate wird für Microsoft Silverlight 5 und Microsoft Silverlight 5 Developer Runtime als kritisch eingestuft, wenn es unter Mac oder allen unterstützten Versionen von Microsoft Windows installiert ist. Weitere Informationen finden Sie im Abschnitt Betroffene Software .
Das Update behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie Microsoft Silverlight bestimmte offene und schließende Webanforderungen verarbeitet, und indem korrigiert wird, wie Arbeitsspeicher behandelt wird, um die Integrität der Randomisierung des Adressraumlayouts (ASLR) in Silverlight aufrechtzuerhalten. Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt Informationen zu Sicherheitsrisiken .
Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3106614.
Betroffene Software
Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, haben entweder ihren Supportlebenszyklus hinter sich oder sind nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder Edition finden Sie unter Microsoft-Support Lifecycle.
| Betriebssystem | Maximale Sicherheitsbeeinträchtigung | Bewertung des Aggregierten Schweregrads | Updates ersetzt |
|---|---|---|---|
| Software | |||
| Microsoft Silverlight 5 bei Installation auf Mac (3106614) | Kritisch | Codeausführung von Remotestandorten | 3080333 in MS15-080 |
| Microsoft Silverlight 5 Developer Runtime bei Installation auf Mac (3106614) | Kritisch | Codeausführung von Remotestandorten | 3080333 in MS15-080 |
| Microsoft Silverlight 5 bei Installation auf allen unterstützten Versionen von Microsoft Windows-Clients (3106614) | Kritisch | Codeausführung von Remotestandorten | 3080333 in MS15-080 |
| Microsoft Silverlight 5 Developer Runtime bei Installation auf allen unterstützten Versionen von Microsoft Windows-Clients (3106614) | Kritisch | Codeausführung von Remotestandorten | 3080333 in MS15-080 |
| Microsoft Silverlight 5 bei Installation auf allen unterstützten Versionen von Microsoft Windows-Servern (3106614) | Kritisch | Codeausführung von Remotestandorten | 3080333 in MS15-080 |
| Microsoft Silverlight 5 Developer Runtime bei Installation auf allen unterstützten Versionen von Microsoft Windows-Servern (3106614) | Kritisch | Codeausführung von Remotestandorten | 3080333 in MS15-080 |
Schweregradbewertungen und Sicherheitsrisikobezeichner
Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit der Ausnutzung des Sicherheitsrisikos in Bezug auf den Schweregrad und die Sicherheitsauswirkungen innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Ausnutzbarkeitsindex in der Zusammenfassung des Bulletins vom Dezember.
| Bewertung des Schweregrads der Sicherheitsrisiken und maximale Auswirkungen auf die Sicherheit durch betroffene Software | ||||
|---|---|---|---|---|
| Betroffene Software | Sicherheitsanfälligkeit in Microsoft Silverlight bezüglich Offenlegung von Informationen – CVE-2015-6114 | Sicherheitsanfälligkeit in Microsoft Silverlight bezüglich Offenlegung von Informationen – CVE-2015-6165 | Microsoft Silverlight RCE-Sicherheitsrisiko – CVE-2015-6166 | Bewertung des Aggregierten Schweregrads |
| Microsoft Silverlight 5 bei Installation auf Mac (3106614) | Wichtig Offenlegung von Informationen | Wichtig Offenlegung von Informationen | Kritisch Remotecodeausführung | Critical (Kritisch) |
| Microsoft Silverlight 5 Developer Runtime bei Installation auf Mac (3106614) | Wichtig Offenlegung von Informationen | Wichtig Offenlegung von Informationen | Kritisch Remotecodeausführung | Critical (Kritisch) |
| Microsoft Silverlight 5 bei Installation auf allen unterstützten Versionen von Microsoft Windows-Clients (3106614) | Wichtig Offenlegung von Informationen | Wichtig Offenlegung von Informationen | Kritisch Remotecodeausführung | Critical (Kritisch) |
| Microsoft Silverlight 5 Developer Runtime bei Installation auf allen unterstützten Versionen von Microsoft Windows-Clients (3106614) | Wichtig Offenlegung von Informationen | Wichtig Offenlegung von Informationen | Kritisch Remotecodeausführung | Critical (Kritisch) |
| Microsoft Silverlight 5 bei Installation auf allen unterstützten Versionen von Microsoft Windows-Servern (3106614) | Wichtig Offenlegung von Informationen | Wichtig Offenlegung von Informationen | Kritisch Remotecodeausführung | Critical (Kritisch) |
| Microsoft Silverlight 5 Developer Runtime bei Installation auf allen unterstützten Versionen von Microsoft Windows-Servern (3106614) | Wichtig Offenlegung von Informationen | Wichtig Offenlegung von Informationen | Kritisch Remotecodeausführung | Critical (Kritisch) |
Häufig gestellte Fragen zum Aktualisieren
Warum wird das Update in diesem Bulletin auch in anderen Bulletins aufgeführt, die diesen Monat veröffentlicht werden?
Da Bulletins nach den Sicherheitslücken, die sie beheben, und nicht nach den updatepaketen, die veröffentlicht werden, werden, können separate Bulletins auf dasselbe Update verweisen, wenn die Korrekturen für ihre jeweiligen Sicherheitsrisiken in einem einzelnen Updatepaket konsolidiert wurden. In solchen Situationen ist es auch möglich, dass die in dem einen Bulletin beschriebenen Sicherheitsrisiken einen völlig anderen Schweregrad und andere Auswirkungsbewertungen aufweisen als die im anderen Bulletin beschriebenen Sicherheitsrisiken. Dies ist häufig bei kumulativen Updates für Produkte wie Internet Explorer oder Silverlight der Fall, bei denen einzelne Updates sehr unterschiedliche Sicherheitsrisiken enthalten, die in separaten Bulletins behandelt werden.
Beachten Sie, dass identische Updatedateien, die mit mehreren Bulletins versendet werden, nicht mehrmals installiert werden müssen.
Welche Webbrowser unterstützen Microsoft Silverlight-Anwendungen?
Für die Ausführung von Microsoft Silverlight-Anwendungen ist für die meisten Webbrowser, einschließlich Microsoft Internet Explorer, die Installation von Microsoft Silverlight und die Aktivierung des entsprechenden Plug-Ins erforderlich. Weitere Informationen zu Microsoft Silverlight finden Sie auf der offiziellen Website Microsoft Silverlight. Weitere Informationen zum Deaktivieren oder Entfernen von Plug-Ins finden Sie in der Dokumentation Ihres Browsers.
Welche Versionen von Microsoft Silverlight 5 sind von den Sicherheitsrisiken betroffen?
Microsoft Silverlight-Build 5.1.41105.00, der aktuelle Build von Microsoft Silverlight zum Zeitpunkt der ersten Veröffentlichung dieses Bulletins, behebt die Sicherheitsrisiken und ist nicht betroffen. Builds von Microsoft Silverlight vor 5.1.41105.00 sind betroffen.
Gewusst wie wissen, welche Version und welcher Build von Microsoft Silverlight derzeit auf meinem System installiert ist?
Wenn Microsoft Silverlight bereits auf Ihrem Computer installiert ist, können Sie die Seite Microsoft Silverlight abrufen besuchen, die angibt, welche Version und welcher Build von Microsoft Silverlight derzeit auf Ihrem System installiert ist. Alternativ können Sie das Feature Verwalten Add-Ons aktueller Versionen von Microsoft Internet Explorer verwenden, um die Version und die Buildinformationen zu ermitteln, die derzeit auf Ihrem System installiert sind.
Sie können auch manuell die Versionsnummer von sllauncher.exe überprüfen, die sich im Verzeichnis "%ProgramFiles%\Microsoft Silverlight" (auf x86 Microsoft Windows-Systemen) oder im Verzeichnis "%ProgramFiles(x86)%\Microsoft Silverlight" (auf x64 Microsoft Windows-Systemen) befinden.
Darüber hinaus finden Sie unter Microsoft Windows die Versions- und Buildinformationen der aktuell installierten Version von Microsoft Silverlight in der Registrierung unter [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight]:Version unter x86 Microsoft Windows-Systemen oder [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Silverlight]:Version auf x64 Microsoft Windows-Systemen.
Unter Apple Mac OS finden Sie die Versions- und Buildinformationen der aktuell installierten Version von Microsoft Silverlight wie folgt:
- Öffnen des Finders
- Wählen Sie das Systemlaufwerk aus, und wechseln Sie zum Ordner Internet-Plug-Ins – Library
- Klicken Sie mit der rechten Maustaste auf die Datei Silverlight.Plug-In (wenn Die Maus nur über eine Schaltfläche verfügt, drücken Sie die STRG-TASTE , während Sie auf die Datei klicken), um das Kontextmenü zu öffnen, und klicken Sie dann auf Paketinhalt anzeigen.
- Suchen Sie im Inhaltsordner nach der Datei info.plist , und öffnen Sie sie mit einem Editor. Es enthält einen Eintrag wie diesen, der Ihnen die Versionsnummer anzeigt: SilverlightVersion 5.1.41105.00
Die mit diesem Sicherheitsupdate für Microsoft Silverlight 5 installierte Version ist 5.1.41105.00. Wenn Ihre Microsoft Silverlight 5-Versionsnummer höher oder gleich dieser Versionsnummer ist, ist Ihr System nicht anfällig.
Gewusst wie meine Version von Microsoft Silverlight aktualisieren?
Das Feature für die automatische Aktualisierung von Microsoft Silverlight trägt dazu bei, dass Ihre Microsoft Silverlight-Installation mit der neuesten Version von Microsoft Silverlight, Microsoft Silverlight-Funktionen und Sicherheitsfeatures auf dem neuesten Stand ist. Weitere Informationen zum Feature für automatische Updates von Microsoft Silverlight finden Sie im Microsoft Silverlight Updater. Windows-Benutzer, die das Feature für die automatische Aktualisierung von Microsoft Silverlight deaktiviert haben, können sich bei Microsoft Update registrieren, um die neueste Version von Microsoft Silverlight zu erhalten, oder die neueste Version von Microsoft Silverlight manuell herunterladen, indem Sie den Downloadlink in der Tabelle Betroffene Software im vorherigen Abschnitt Betroffene Software verwenden. Informationen zum Bereitstellen von Microsoft Silverlight in einer Unternehmensumgebung finden Sie im Silverlight Enterprise Deployment Guide .
Wird mit diesem Update meine Version von Silverlight aktualisiert?
Das 3106614 Update aktualisiert frühere Versionen von Silverlight auf Silverlight-Version 5.1.41105.00. Microsoft empfiehlt ein Upgrade, um vor dem in diesem Bulletin beschriebenen Sicherheitsrisiko geschützt zu sein.
Wo finde ich zusätzliche Informationen zum Silverlight-Produktlebenszyklus?
Informationen zum silverlightspezifischen Lebenszyklus finden Sie in der Lebenszyklusrichtlinie für Microsoft Silverlight-Support.
Informationen zu Sicherheitsrisiken
Microsoft Silverlight RCE-Sicherheitsrisiko – CVE-2015-6166
Eine Sicherheitsanfälligkeit bei der Remotecodeausführung liegt vor, wenn Microsoft Silverlight bestimmte offene und schließende Anforderungen fälschlicherweise verarbeitet, die zu Verstößen gegen Lese- und Schreibzugriff führen können.
Um die Sicherheitsanfälligkeit auszunutzen, könnte ein Angreifer eine Website hosten, die eine speziell gestaltete Silverlight-Anwendung enthält, und dann einen Benutzer überzeugen, die kompromittierte Website zu besuchen. Der Angreifer könnte auch Websites nutzen, die speziell gestaltete Inhalte enthalten, einschließlich solcher, die vom Benutzer bereitgestellte Inhalte oder Werbung akzeptieren oder hosten. Ein Angreifer könnte beispielsweise speziell gestaltete Webinhalte anzeigen, indem er Banneranzeigen verwendet oder andere Methoden verwendet, um Webinhalte an betroffene Systeme zu übermitteln. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zum Besuch einer kompromittierten Website zu zwingen. Stattdessen müsste ein Angreifer einen Benutzer davon überzeugen, die Website zu besuchen, in der Regel, indem er den Benutzer dazu verleitet, auf einen Link in einer E-Mail oder in einer Instant Messenger-Nachricht zu klicken.
Im Webbrowsen-Szenario kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, die gleichen Berechtigungen wie der aktuell angemeldete Benutzer erhalten. Wenn ein Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer die vollständige Kontrolle über das betroffene System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten. Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft Silverlight bestimmte offene und schließende Webanforderungen verarbeitet.
Microsoft hat Informationen zu diesem Sicherheitsrisiko durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Zum Zeitpunkt, als dieses Sicherheitsbulletin ursprünglich veröffentlicht wurde, war Microsoft nicht von angriffen bekannt, die versuchten, diese Sicherheitsanfälligkeit auszunutzen.
Mildernde Faktoren
Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für dieses Sicherheitsrisiko identifiziert.
Mehrere Sicherheitsrisiken bei der Offenlegung von Informationen in Microsoft Silverlight
Es bestehen mehrere Sicherheitsanfälligkeiten zur Offenlegung von Informationen, wenn Silverlight Objekte im Arbeitsspeicher nicht ordnungsgemäß verarbeiten kann, was es einem Angreifer ermöglichen könnte, Zeigerwerte zuverlässiger vorherzusagen und die Wirksamkeit des AsLR-Sicherheitsfeatures (Address Space Layout Randomization) zu beeinträchtigen.
Um die Sicherheitsrisiken auszunutzen, könnte ein Angreifer in einem Angriffsszenario im Webbrowsen möglicherweise das SICHERHEITSFEATURE ASLR umgehen, das Benutzer vor einer breiten Klasse von Sicherheitsrisiken schützt. Die ASLR-Umgehung allein lässt keine beliebige Codeausführung zu. Ein Angreifer könnte die Sicherheitsrisiken jedoch in Verbindung mit einer ASLR-Umgehung nutzen, um ein Zielsystem zu kompromittieren.
In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website mit speziell gestalteten Silverlight-Inhalten hosten, um die Sicherheitsrisiken auszunutzen. Außerdem könnten kompromittierte Websites und Websites, die von Benutzern bereitgestellte Inhalte mit speziell gestalteten Inhalten akzeptieren oder hosten, die Sicherheitsrisiken ausnutzen. Ein Angreifer hätte keine Möglichkeit, einen Benutzer zum Besuch einer speziell gestalteten Website zu zwingen. Stattdessen müsste ein Angreifer einen Benutzer davon überzeugen, Maßnahmen zu ergreifen. Ein Angreifer könnte beispielsweise einen Benutzer dazu verleiten, auf einen Link zu klicken, der den Benutzer zur Website des Angreifers führt. Das Update behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie Arbeitsspeicher behandelt wird, um die Integrität von ASLR in Silverlight zu erhalten.
Microsoft hat Informationen zu den Sicherheitsrisiken durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Zum Zeitpunkt, als dieses Sicherheitsbulletin ursprünglich veröffentlicht wurde, war Microsoft von einem Angriff, der versucht, die Sicherheitsrisiken auszunutzen, nicht bekannt.
Die folgende Tabelle enthält Links zum Standardeintrag für die einzelnen Sicherheitsrisiken in der Liste Allgemeiner Sicherheitsrisiken:
| Titel der Sicherheitslücke | CVE-Nummer | Öffentlich bekannt gemacht | Genutzt |
|---|---|---|---|
| Sicherheitsrisiko bei der Offenlegung von Informationen in Microsoft Silverlight | CVE-2015-6114 | Nein | Nein |
| Sicherheitsrisiko bei der Offenlegung von Informationen in Microsoft Silverlight | CVE-2015-6165 | Nein | Nein |
Mildernde Faktoren
Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.
Problemumgehungen
Die folgenden Problemumgehungen können in Ihrer Situation hilfreich sein:
Vorübergehendes Verhindern der Ausführung von Microsoft Silverlight im Internet Explorer
- Navigieren Sie unter Internet Explorer zum Menü Extras, und klicken Sie dann auf Internetoptionen.
- Klicken Sie im Fenster Internetoptionen auf die Registerkarte Programme , und klicken Sie dann auf Add-Ons verwalten.
- Suchen Sie in der Liste Symbolleisten und Erweiterungen nach Microsoft Silverlight, wählen Sie es aus, und klicken Sie dann auf Deaktivieren.
Vorübergehendes Verhindern der Ausführung von Microsoft Silverlight in Mozilla Firefox
- Navigieren Sie in Mozilla Firefox zum Menü Extras , und klicken Sie dann auf Addons.
- Klicken Sie im Fenster Addons auf die Registerkarte Plugins .
- Suchen Sie das Silverlight-Plug-In, und klicken Sie dann auf Deaktivieren.
Entfernen Silverlight.Configuration.exe aus der IE ElevationPolicy
Warnung Wenn Sie den Registrierungs-Editor falsch verwenden, können Sie schwerwiegende Probleme verursachen, die möglicherweise eine Neuinstallation Des Betriebssystems erfordern. Microsoft kann nicht garantieren, dass Probleme, die aus der falschen Verwendung des Registrierungs-Editors resultieren, gelöst werden können. Sie verwenden den Registrierungs-Editor auf eigene Gefahr.
- Öffnen Sie den Registrierungs-Editor.
- Erweitern sie HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Internet Explorer>WeitereRechteaushebungPolicy>
- Wählen Sie {003B91A6-61E3-4591-891D-01E94C8CB11E} aus.
- Klicken Sie auf das Menü Datei , und klicken Sie dann auf Exportieren.
- Geben Sie im Fenster Registrierungsdatei exportieren silverlight.configuration.exe_backup.reg ein, und klicken Sie dann auf Speichern.
- Klicken Sie auf das Menü Datei , klicken Sie auf Löschen, und klicken Sie dann auf Ja.
- Schließen Sie den Registrierungs-Editor.
- Melden Sie sich ab, und melden Sie sich erneut an, oder starten Sie den Computer neu.
Rückgängigmachen der Problemumgehung
- Öffnen Sie den Registrierungs-Editor.
- Klicken Sie auf das Menü Datei , und klicken Sie dann auf Importieren.
- Klicken Sie im Fenster Registrierungsdatei importieren auf silverlight.configuration.exe_backup.reg , und klicken Sie dann auf Öffnen.
- Schließen Sie den Registrierungs-Editor.
- Melden Sie sich ab, und melden Sie sich erneut an, oder starten Sie den Computer neu.
Bereitstellung von Sicherheitsupdates
Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung verwiesen wird.
Danksagungen
Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity an, die uns helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter Bestätigungen .
Haftungsausschluss
Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie "wie benährt" bereitgestellt. Microsoft lehnt alle ausdrücklichen oder impliziten Garantien ab, einschließlich der Gewährleistung der Marktgängigkeit und Eignung für einen bestimmten Zweck. Die Microsoft Corporation oder ihre Lieferanten haften in keinem Fall für Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder besonderen Schäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Beschränkung der Haftung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.
Revisionen
- V1.0 (8. Dezember 2015): Bulletin veröffentlicht.
Seite generiert 2015-12-02 11:30-08:00.