Microsoft Security Bulletin MS16-013 – Kritisch

Sicherheitsupdate für Windows Journal zum Beheben der Remotecodeausführung (3134811)

Veröffentlicht: 9. Februar 2016

Version: 1.0

Kurzfassung

Dieses Sicherheitsupdate behebt ein Sicherheitsrisiko in Microsoft Windows. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Journal-Datei öffnet. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Windows Vista, Windows 7, Windows 8.1 und Windows 10, für alle unterstützten Nicht-Itanium-Editionen von Windows Server 2008 und Windows Server 2008 R2 sowie für alle unterstützten Editionen von Windows Server 2012 und Windows Server 2012 R2 als Kritisch eingestuft. Weitere Informationen finden Sie im Abschnitt Betroffene Software .

Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Windows Journal Journal Dateien analysiert. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Abschnitt Informationen zu Sicherheitsrisiken .

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3134811.

Schweregrad der betroffenen Software und Bewertungen des Sicherheitsrisikos

Die folgenden Softwareversionen oder -editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, haben entweder ihren Supportlebenszyklus hinter sich oder sind nicht betroffen. Informationen zum Bestimmen des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Die für jede betroffene Software angegebenen Schweregradbewertungen gehen von den potenziellen maximalen Auswirkungen der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit der Ausnutzbarkeit des Sicherheitsrisikos in Bezug auf den Schweregrad und die Sicherheitsauswirkungen innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Exploitability Index im Bulletin Summary vom Februar.

Betroffene Software Sicherheitsanfälligkeit in Windows Journal: Speicherbeschädigung – CVE-2016-0038 Updates ersetzt*
Windows Vista
Windows Vista Service Pack 2 (3115858) Kritisch Remotecodeausführung 3100213 in MS15-114
Windows Vista x64 Edition Service Pack 2 (3115858) Kritisch Remotecodeausführung 3100213 in MS15-114
Windows Server 2008
Windows Server 2008 für 32-Bit-Systeme Service Pack 2 (3115858) Kritisch Remotecodeausführung 3100213 in MS15-114
Windows Server 2008 für x64-basierte Systeme Service Pack 2 (3115858) Kritisch Remotecodeausführung 3100213 in MS15-114
Windows 7
Windows 7 für 32-Bit-Systeme Service Pack 1 (3115858) Kritisch Remotecodeausführung 3100213 in MS15-114
Windows 7 für x64-basierte Systeme Service Pack 1 (3115858) Kritisch Remotecodeausführung 3100213 in MS15-114
Windows Server 2008 R2
Windows Server 2008 R2 für x64-basierte Systeme Service Pack 1 (3115858) Kritisch Remotecodeausführung 3100213 in MS15-114
Windows 8.1
Windows 8.1 für 32-Bit-Systeme (3115858) Kritisch Remotecodeausführung 3069114 in MS15-098
Windows 8.1 für x64-basierte Systeme (3115858) Kritisch Remotecodeausführung 3069114 in MS15-098
Windows Server 2012 und Windows Server 2012 R2
Windows Server 2012 (3115858) Kritisch Remotecodeausführung 3069114 in MS15-098
Windows Server 2012 R2 (3115858) Kritisch Remotecodeausführung 3069114 in MS15-098
Windows 10
Windows 10 für 32-Bit-Systeme[1](3135174) Kritisch Remotecodeausführung 3124266
Windows 10 für x64-basierte Systeme[1](3135174) Kritisch Remotecodeausführung 3124266
Windows 10 Version 1511 für 32-Bit-Systeme[1](3135173) Kritisch Remotecodeausführung 3116900
Windows 10 Version 1511 für x64-basierte Systeme[1](3135173) Kritisch Remotecodeausführung 3116900

[1]Windows 10 Updates sind kumulativ. Zusätzlich zu nicht sicherheitsrelevanten Updates enthalten sie auch alle Sicherheitskorrekturen für alle Windows 10 betroffenen Sicherheitsrisiken, die mit dem monatlichen Sicherheitsrelease bereitgestellt werden. Das Update ist über den Windows Update-Katalog verfügbar.

*Die Spalte Updates Ersetzt zeigt nur das neueste Update in einer Kette abgelöster Updates an. Eine umfassende Liste der ersetzten Updates finden Sie im Microsoft Update-Katalog, suchen Sie nach der KB-Nummer des Updates, und zeigen Sie dann Updatedetails an (Informationen zu den ersetzten Updates finden Sie auf der Registerkarte Paketdetails).

Beachten Sie Windows Server Technical Preview 4 betroffen ist. Kunden, die dieses Betriebssystem ausführen, werden empfohlen, das Update anzuwenden, das über Windows Update verfügbar ist.

Häufig gestellte Fragen zum Aktualisieren

Ich führe eines der Betriebssysteme in der betroffenen Softwaretabelle aus. Warum wird mir das Journal Update nicht angeboten?   Das Update wird nur für die folgenden Systeme angeboten, auf denen Windows Journal installiert ist.

  • In unterstützten Editionen von Windows Server 2008 ist Windows Journal standardmäßig nicht installiert. Es wird installiert, wenn das Desktopdarstellungsfeature aktiviert ist. Daher gilt das Update für Windows Journal nur, wenn die Desktopdarstellung aktiviert ist.
  • In unterstützten Editionen von Windows Server 2008 R2, Windows Server 2012 und Windows Server 2012 R2 ist Windows Journal standardmäßig nicht installiert. Es wird installiert, wenn das Feature Freihand- und Handschriftdienste aktiviert ist. Daher gilt das Update für Windows Journal nur, wenn Freihand- und Handschriftdienste aktiviert sind.

Informationen zu Sicherheitsrisiken

Sicherheitsanfälligkeit in Windows Journal: Speicherbeschädigung – CVE-2016-0038

In Microsoft Windows liegt eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung vor, wenn eine speziell gestaltete Journal-Datei in Windows Journal geöffnet wird. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann dazu führen, dass beliebiger Code im Kontext des aktuellen Benutzers ausgeführt wird. Wenn ein Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer die Kontrolle über das betroffene System übernehmen. Ein Angreifer könnte dann Programme installieren; Daten anzeigen, ändern oder löschen oder neue Konten mit vollständigen Benutzerrechten erstellen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.

Damit ein Angriff erfolgreich ist, erfordert diese Sicherheitsanfälligkeit, dass ein Benutzer eine speziell gestaltete Journal-Datei mit einer betroffenen Version von Windows Journal öffnet. In einem E-Mail-Angriffsszenario kann ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Journal-Datei an den Benutzer sendet und den Benutzer dann dazu verredet, die Datei zu öffnen.

Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie Windows Journal Journal Dateien analysiert.

Die folgende Tabelle enthält Links zum Standardeintrag für die einzelnen Sicherheitsrisiken in der Liste Allgemeiner Sicherheitsrisiken und Risiken:

Titel der Sicherheitslücke CVE-Nummer Öffentlich zugänglich gemacht Genutzt
Sicherheitsanfälligkeit in Windows Journal: Speicherbeschädigung CVE-2016-0038 No No

Schadensbegrenzende Faktoren

Microsoft hat keine mildernden Faktoren für dieses Sicherheitsrisiko identifiziert.

Problemumgehung

Die folgenden Problemumgehungen können in Ihrer Situation hilfreich sein:

  • Öffnen Sie keine verdächtigen Dateianlagen.

    Öffnen Sie keine Windows Journal -Dateien (.jnt), die Sie von nicht vertrauenswürdigen Quellen erhalten oder die Sie unerwartet von vertrauenswürdigen Quellen erhalten. Diese Sicherheitsanfälligkeit kann ausgenutzt werden, wenn ein Benutzer eine speziell gestaltete Datei öffnet.

    Unter Windows 7 oder Vista:

    1. Klicken Sie auf Start, klicken Sie auf Systemsteuerung, und klicken Sie dann auf Programme.
    2. Klicken Sie auf Windows-Features aktivieren oder deaktivieren.
    3. Deaktivieren Sie Die Option Tablet PC-Komponenten (Optionale Tablet-PC-Komponenten unter Windows Vista-Systemen).
    4. Klicken Sie auf OK.

    Auswirkungen der Problemumgehung.  Benutzer können windows Journal oder andere Tablet PC-Komponenten nicht verwenden.

    Beachten Sie Windows 8 und Windows 8.1 keinen Mechanismus zum Deaktivieren von Windows Journal bereitstellen.

    Rückgängigmachen der Problemumgehung

    1. Klicken Sie auf Start, klicken Sie auf Systemsteuerung, und klicken Sie dann auf Programme.
    2. Klicken Sie auf Windows-Features aktivieren oder deaktivieren.
    3. Überprüfen Sie Tablet PC-Komponenten (Optionale Tablet-PC-Komponenten unter Windows Vista-Systemen).
    4. Klicken Sie auf OK.

     

  • Entfernen der JNT-Dateitypzuordnung

    Interaktive Methode:
    Hinweis
    Wenn Sie die Registrierung falsch Editor verwenden, kann dies zu schwerwiegenden Problemen führen, die möglicherweise eine Neuinstallation Des Betriebssystems erfordern. Microsoft übernimmt keinerlei Garantie dafür, dass Probleme aufgrund nicht ordnungsgemäßer Verwendung des Registrierungs-Editors behoben werden können. Sie verwenden den Registrierungs-Editor auf eigene Gefahr. Informationen zum Bearbeiten der Registrierung finden Sie im Hilfethema "Ändern von Schlüsseln und Werten" unter Registrierungs-Editor (Regedit.exe) oder in den Hilfethemen "Informationen in der Registrierung hinzufügen und löschen" und "Registrierungsdaten bearbeiten" in Regedt32.exe.

    Führen Sie die folgenden Schritte aus, um die JNT-Dateitypzuordnung mithilfe der interaktiven Methode zu entfernen:

    1. Klicken Sie auf Start und dann auf Ausführen. Geben Sie regedit& ein, und klicken Sie auf OK.
    2. Erweitern Sie HKEY_CLASSES_ROOT, klicken Sie auf jntfile, und klicken Sie dann auf das Menü Datei , und wählen Sie Exportieren aus.
    3. Geben Sie im Dialogfeld Registrierungsdatei exportierenden Namen jntfile HKCR file association registry backup.reg ein, und klicken Sie auf Speichern. Dadurch wird standardmäßig eine Sicherung dieses Registrierungsschlüssels im Ordner "Eigene Dokumente" erstellt.
    4. Drücken Sie die ENTF-TASTE auf der Tastatur, um den Registrierungsschlüssel zu löschen. Wenn Sie aufgefordert werden, den Registrierungswert zu löschen, klicken Sie auf Ja.
    5. Erweitern Sie HKEY_CURRENT_USER, dann Software, dann Microsoft, dann Windows, dann CurrentVersion, dann Explorer und dann FileExts.
    6. Klicken Sie auf .jnt , und klicken Sie dann auf das Menü Datei , und wählen Sie Exportieren aus.
    7. Geben Sie im Dialogfeld Registrierungsdatei exportieren den Namen JNTHKCU-Dateizuordnungsregistrierung backup.reg ein, und klicken Sie dann auf Speichern. Dadurch wird standardmäßig eine Sicherung dieses Registrierungsschlüssels im Ordner "Eigene Dokumente" erstellt.
    8. Drücken Sie die ENTF-TASTE auf der Tastatur, um den Registrierungsschlüssel zu löschen. Wenn Sie aufgefordert werden, den Registrierungswert zu löschen, klicken Sie auf Ja.

    Verwenden eines verwalteten Skripts:
    Hinweis Wenn Sie die Registrierung falsch Editor verwenden, kann dies zu schwerwiegenden Problemen führen, die möglicherweise eine Neuinstallation Des Betriebssystems erfordern. Microsoft übernimmt keinerlei Garantie dafür, dass Probleme aufgrund nicht ordnungsgemäßer Verwendung des Registrierungs-Editors behoben werden können. Sie verwenden den Registrierungs-Editor auf eigene Gefahr. Informationen zum Bearbeiten der Registrierung finden Sie im Hilfethema "Ändern von Schlüsseln und Werten" unter Registrierungs-Editor (Regedit.exe) oder in den Hilfethemen "Informationen in der Registrierung hinzufügen und löschen" und "Registrierungsdaten bearbeiten" in Regedt32.exe.

    Führen Sie die folgenden Schritte aus, um die JNT-Dateitypzuordnung mithilfe eines interaktiven, verwalteten Skripts zu entfernen:

    1. Erstellen Sie eine Sicherungskopie der Registrierungsschlüssel mithilfe eines verwalteten Bereitstellungsskripts mit den folgenden Befehlen:

      Regedit.exe /e jntfile_HKCR_registry_backup.reg HKEY_CLASSES_ROOT\jntfile
      Regedit.exe /e jnt_HKCU_registry_backup.reg HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.jnt
      
    2. Speichern Sie Folgendes in einer Datei mit der Erweiterung .reg (z. B. Delete_jnt_file_association.reg):

      Windows Registry Editor Version 5.00  
      [-HKEY_CLASSES_ROOT\jntfile]  
      [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.jnt]
      
    3. Führen Sie das obige Registrierungsskript aus, das in Schritt 2 erstellt wurde, auf dem Zielcomputer mit dem folgenden Befehl:

      Regedit.exe /s Delete_jnt_file_association.reg
      

    Auswirkungen der Problemumgehung. Wenn Sie auf eine JNT-Datei doppelklicken, wird journal.exe nicht mehr gestartet.

    Rückgängigmachen der Problemumgehung:

    Stellen Sie den Registrierungsschlüssel mithilfe der Registrierungs-Editor wieder her, um die in gespeicherten Einstellungen wiederherzustellen. REG-Dateien.

  • Entfernen Sie Windows Journal, indem Sie das Windows-Feature deaktivieren, das es installiert.

    Führen Sie auf Windows Vista- und Windows 7-Systemen die folgenden Schritte aus:

    1. Klicken Sie auf Start, Systemsteuerung und dann auf Programme.
    2. Klicken Sie auf Windows-Features aktivieren oder deaktivieren , und deaktivieren Sie dann das Kontrollkästchen für optionale Tablet PC-Komponenten (Windows Vista-Systeme) oder Tablet-PC-Komponenten (Windows 7-Systeme).
    3. Klicken Sie auf OK.

    Auswirkungen der Problemumgehung. Windows Journal wird aus dem System entfernt.

    Rückgängigmachen der Problemumgehung:

    Führen Sie die folgenden Schritte aus, um Windows Journal auf Windows Vista- oder Windows 7-Systemen neu zu installieren:

    1. Klicken Sie auf Start, Systemsteuerung und dann auf Programme.
    2. Klicken Sie auf Windows-Features aktivieren oder deaktivieren , und aktivieren Sie dann das Kontrollkästchen für optionale Tablet PC-Komponenten (Windows Vista-Systeme) oder Tablet-PC-Komponenten (Windows 7-Systeme).
    3. Klicken Sie auf OK.
  • Verweigern des Zugriffs auf Journal.exe

    Um den Zugriff auf Journal.exe zu verweigern, geben Sie an einer Administratoreingabeaufforderung die folgenden Befehle ein:

    > takeown.exe /f "%ProgramFiles%\Windows Journal\Journal.exe"
    > icacls.exe "%ProgramFiles%\Windows Journal\Journal.exe" /deny everyone:(F)  
    

    Auswirkungen der Problemumgehung. Auf Windows-Journal kann nicht mehr zugegriffen werden.

    Rückgängigmachen der Problemumgehung:

    Um den Zugriff auf Journal.exe wiederhergestellt zu können, geben Sie die folgenden Befehle an einer Administratoreingabeaufforderung ein:

        > icacls.exe "%ProgramFiles%\Windows Journal\Journal.exe" /remove:d everyone
    

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen von Personen in der Sicherheitscommunity an, die uns helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter Bestätigungen .

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Gewährleistung "wie ben" bereitgestellt. Microsoft lehnt jegliche Gewährleistungen ab, sei es ausdrücklich oder stillschweigend, einschließlich der Gewährleistungen der Marktgängigkeit und Eignung für einen bestimmten Zweck. In keinem Fall haften Die Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder besonderen Schäden, auch wenn Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Einige Staaten lassen den Ausschluss oder die Beschränkung der Haftung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

  • V1.0 (9. Februar 2016): Bulletin veröffentlicht.

Seite generiert am 03.02.2016 um 12:01-08:00 Uhr.