Microsoft Security Bulletin MS14-082 – Wichtig
Sicherheitsanfälligkeit in Microsoft Office könnte Remotecodeausführung zulassen (3017349)
Veröffentlicht: 9. Dezember 2014 | Aktualisiert: 19. Dezember 2014
Version: 1.0
Kurzfassung
Dieses Sicherheitsupdate behebt eine privat gemeldete Sicherheitsanfälligkeit in Microsoft Office. Die Sicherheitsanfälligkeit könnte die Remotecodeausführung zulassen, wenn eine speziell gestaltete Datei in einer betroffenen Edition von Microsoft Office geöffnet wird. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte dieselben Benutzerrechte wie der aktuelle Benutzer erlangen. Kunden, deren Konten so konfiguriert sind, dass sie weniger Benutzerrechte auf dem System haben, können weniger betroffen sein als die Benutzerrechte, die mit Administratorrechten arbeiten.
Dieses Sicherheitsupdate ist für alle unterstützten Editionen von Microsoft Office 2007, Microsoft Office 2010, Microsoft Office 2013 und Microsoft Office 2013 RT als wichtig eingestuft. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft Office speziell gestaltete Dateien analysiert. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Abschnitt "Sicherheitsrisikeninformationen " für die spezifische Sicherheitsanfälligkeit.
Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3017349.
Betroffene Software
Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.
| Microsoft Office Suite und andere Software | Komponente | Maximale Sicherheitswirkung | Bewertung des aggregierten Schweregrads | Ersetzte Updates |
|---|---|---|---|---|
| Microsoft Office-Suites und -Komponenten | ||||
| Microsoft Office 2007 | ||||
| Microsoft Office 2007 Service Pack 3 (2596927) | Nicht zutreffend | Remoteausführung von Code | Wichtig | 974234 in MS09-060 |
| Microsoft Office 2010 | ||||
| Microsoft Office 2010 Service Pack 2 (32-Bit-Editionen) (2553154) | Nicht zutreffend | Remoteausführung von Code | Wichtig | Keine |
| Microsoft Office 2010 Service Pack 2 (64-Bit-Editionen) (2553154) | Nicht zutreffend | Remoteausführung von Code | Wichtig | Keine |
| Microsoft Office 2013 und Microsoft Office 2013 RT | ||||
| Microsoft Office 2013 (32-Bit-Editionen) (2726958) | Nicht zutreffend | Remoteausführung von Code | Wichtig | Keine |
| Microsoft Office 2013 Service Pack 1 (32-Bit-Editionen) (2726958) | Nicht zutreffend | Remoteausführung von Code | Wichtig | Keine |
| Microsoft Office 2013 (64-Bit-Editionen) (2726958) | Nicht zutreffend | Remoteausführung von Code | Wichtig | Keine |
| Microsoft Office 2013 Service Pack 1 (64-Bit-Editionen) (2726958) | Nicht zutreffend | Remoteausführung von Code | Wichtig | Keine |
| Microsoft Office 2013 RT [1](2726958) | Nicht zutreffend | Remoteausführung von Code | Wichtig | Keine |
| Microsoft Office 2013 RT Service Pack 1 [1](2726958) | Nicht zutreffend | Remoteausführung von Code | Wichtig | Keine |
[1]Dieses Update ist über Windows Update verfügbar.
Schweregradbewertungen und Sicherheitslücken-IDs
Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung im Dezember.
| Bewertung des Schweregrads der Sicherheitsanfälligkeit und maximale Sicherheitsbeeinträchtigung durch betroffene Software | ||
|---|---|---|
| Betroffene Software | Verwendung der Microsoft Office-Komponente nach der kostenlosen Sicherheitsanfälligkeit – CVE-2014-6364 | Bewertung des aggregierten Schweregrads |
| Microsoft Office 2007 | ||
| Microsoft Office 2007 Service Pack 3 | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Office 2010 | ||
| Microsoft Office 2010 Service Pack 2 (32-Bit-Editionen) | Wichtig\ Remotecodeausführung | Wichtig |
| Microsoft Office 2010 Service Pack 2 (64-Bit-Editionen) | Wichtig\ Remotecodeausführung | Wichtig |
| Microsoft Office 2013 und Microsoft Office 2013 RT | ||
| Microsoft Office 2013 (32-Bit-Editionen) | Wichtig\ Remotecodeausführung | Wichtig |
| Microsoft Office 2013 Service Pack 1 (32-Bit-Editionen) | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Office 2013 Service Pack 1 (64-Bit-Editionen) | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Office 2013 Service Pack 2 (64-Bit-Editionen) | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Office 2013 RT | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Office 2013 RT Service Pack 1 | Wichtig \ Remotecodeausführung | Wichtig |
Informationen zu Sicherheitsrisiken
Verwendung der Microsoft Office-Komponente nach der kostenlosen Sicherheitsanfälligkeit – CVE-2014-6364
Im Kontext des aktuellen Benutzers ist eine Sicherheitslücke zur Remotecodeausführung vorhanden, die verursacht wird, wenn Microsoft Office Objekte im Arbeitsspeicher nicht ordnungsgemäß verarbeitet, während speziell gestaltete Office-Dateien analysiert werden. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer Programme installieren. Daten anzeigen, ändern oder löschen; oder erstellen Sie neue Konten mit vollständigen Benutzerrechten. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.
Systeme, bei denen betroffene Microsoft Office-Software verwendet wird, einschließlich Arbeitsstationen und Terminalservern, sind in erster Linie gefährdet. Server sind möglicherweise riskanter, wenn Administratoren benutzern erlauben, sich bei Servern anzumelden und Programme auszuführen. Bewährte Methoden raten jedoch dringend davon ab, dies zuzulassen. Die Nutzung dieser Sicherheitsanfälligkeit erfordert, dass ein Benutzer eine speziell gestaltete Datei mit einer betroffenen Version von Microsoft Office-Software öffnet. In einem E-Mail-Angriffsszenario könnte ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Datei an den Benutzer sendet und den Benutzer dazu überzeugen kann, die Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen. In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, die eine Datei enthält, die verwendet wird, um die Sicherheitsanfälligkeit auszunutzen. Außerdem könnten kompromittierte Websites und Websites, die vom Benutzer bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. Ein Angreifer hätte keine Möglichkeit, Benutzer zu erzwingen, eine speziell gestaltete Website zu besuchen. Stattdessen müsste ein Angreifer sie davon überzeugen, die Website zu besuchen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die sie zur Website des Angreifers führt, und dann davon überzeugen, die speziell gestaltete Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen.
Microsoft hat Informationen über die Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ausgestellt wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde. Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft Office speziell gestaltete Dateien analysiert.
Mildernde Faktoren
Die folgenden mildernden Faktoren können in Ihrer Situation hilfreich sein:
- Die Sicherheitsanfälligkeit kann nicht automatisch per E-Mail ausgenutzt werden. Damit ein Angriff erfolgreich ist, muss ein Benutzer eine Anlage öffnen oder in einer Vorschau anzeigen, die in einer E-Mail-Nachricht gesendet wird, oder auf einen Link in einer E-Mail-Nachricht klicken.
- In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, die verwendet wird, um diese Sicherheitsanfälligkeit auszunutzen. Darüber hinaus könnten kompromittierte Websites und Websites, die vom Benutzer bereitgestellte Inhalte oder Werbung akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. In allen Fällen hätte ein Angreifer jedoch keine Möglichkeit, Benutzer zu zwingen, kontrollierte Inhalte von Angreifern anzuzeigen. Stattdessen müsste ein Angreifer die Benutzer davon überzeugen, maßnahmen zu ergreifen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die Benutzer zur Website des Angreifers führt.
- Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte dieselben Benutzerrechte wie der aktuelle Benutzer erlangen. Kunden, deren Konten so konfiguriert sind, dass sie weniger Benutzerrechte auf dem System haben, können weniger betroffen sein als die Benutzerrechte, die mit Administratorrechten arbeiten.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.
Bereitstellung von Sicherheitsupdates
Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.
Danksagungen
Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".
Haftungsausschluss
Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.
Revisionen
- V1.0 (9. Dezember 2014): Bulletin veröffentlicht.
Seite generiert 2015-01-14 12:19Z-08:00.