Microsoft Security Bulletin MS03-042

Pufferüberlauf im ActiveX-Steuerelement der Windows-Problembehandlung kann Codeausführung ermöglichen (826232)

Auf dieser Seite

	Zusammenfassung
	Technische Details
	Häufig gestellte Fragen (FAQs)
	Problemumgehungen
	Informationen zum Sicherheitspatch
	Sonstige Informationen

Zurück zur Übersicht

Zusammenfassung

Wer sollte dieses Bulletin lesen: Benutzer von Microsoft Windows.

Auswirkungen der Sicherheitsanfälligkeiten: Remote Codeausführung

Bewertung des maximalen Schweregrads: Kritisch

Empfehlung: Kunden sollten den Patch so schnell wie möglich installieren.

Schützen Sie Ihren PC:
Informationen dazu, wie Sie Ihren PC schützen können, finden Sie auch auf folgenden Webseiten:

Betroffene Software:

Nicht betroffen Software:

Die oben aufgeführte Software wurde daraufhin getestet, ob sie betroffen ist. Frühere Versionen werden nicht mehr unterstützt und sind möglicherweise ebenfalls von dieser Sicherheitsanfälligkeit betroffen.

Zum Seitenanfang

Technische Details

Microsoft hat dieses Bulletin am 29. Oktober 2003 erneut veröffentlicht, um auf die Verfügbarkeit eines aktualisierten Patches für Windows 2000 hinzuweisen. Der neue Patch behebt das Problem mit Benutzerrechten für Debug-Programme (SeDebugPrivilege), das in einigen Fällen nach der Installation des ursprünglichen Patches aufgetreten war. Dieses Problem wird im Knowledge Base-Artikel 830846 erläutert, es steht in keinem Zusammenhang mit der in diesem Bulletin beschriebenen Sicherheitsanfälligkeit. Falls Sie den ursprünglichen Patch bereits angewendet haben, müssen Sie die aktualisierte Version nicht installieren.

Es liegt eine Sicherheitsanfälligkeit vor, da das ActiveX-Steuerelement (Tshoot.ocx) der lokalen Microsoft-Problembehandlung einen Pufferüberlauf aufweist. Diese Sicherheitsanfälligkeit könnte einem Angreifer erlauben, Code seiner Wahl auf dem Benutzersystem auszuführen. Da dieses Steuerelement als "sicher für Skripting" markiert ist, könnte ein Angreifer diese Sicherheitsanfälligkeit ausnutzen, indem er einen Benutzer überzeugt, eine besonders gestaltete HTML-Seite anzuzeigen, die auf dieses ActiveX-Steuerelement verweist. Das ActiveX-Steuerelement der lokalen Microsoft-Problembehandlung wird unter Windows 2000 standardmäßig als Teil des Betriebssystems installiert.

Um diese Sicherheitsanfälligkeit auszunutzen, müsste der Angreifer eine besonders gestaltete, HTML-basierte E-Mail erstellen und an den Benutzer senden. Ein Angreifer könnte auch eine zerstörerische Website mit einer Seite einrichten, die diese Sicherheitsanfälligkeit ausnutzt.

Im schlimmsten Fall könnte diese Sicherheitsanfälligkeit dem Angreifer erlauben, zerstörerischen Code auf das System eines Benutzers zu laden und dann auszuführen. Der Code des Angreifers würde im Kontext des Benutzers verarbeitet. Aus diesem Grund kann der Code nur die Aktionen ausführen, die auch der berechtigte Benutzer im System vornehmen kann. Alle Einschränkungen des Benutzerkontos schränken auch die Aktionen des beliebigen Codes ein, den der Angreifer ausführen kann.

Sie können das Risiko eines Angriffs über eine HTML-basierte E-Mail deutlich reduzieren, indem Sie auf Folgendes achten:

Schadensbegrenzende Faktoren:

Bewertung des Schweregrads:

Die oben getroffene Bewertung basiert auf den von der Sicherheitsanfälligkeit betroffenen Systemarten, ihren typischen Bereitstellungsmustern und den möglichen Auswirkungen, die ein Angriff der Sicherheitsanfälligkeit auf sie hat.

Kennungen der Sicherheitsanfälligkeit:  CAN-2003-0659

Zum Seitenanfang

Häufig gestellte Fragen (FAQs)

Warum hat Microsoft dieses Bulletin erneut veröffentlicht?
Microsoft hat dieses Bulletin am 29. Oktober 2003 erneut veröffentlicht, um auf die Verfügbarkeit eines aktualisierten Patches für Windows 2000 hinzuweisen. Der neue Patch behebt das Problem mit Benutzerrechten für Debug-Programme (SeDebugPrivilege), das in einigen Fällen nach der Installation des ursprünglichen Patches aufgetreten war. Dieses Problem wird im Knowledge Base-Artikel 830846 erläutert, es steht in keinem Zusammenhang mit der in diesem Bulletin beschriebenen Sicherheitsanfälligkeit. Falls Sie den ursprünglichen Patch bereits angewendet haben, müssen Sie die aktualisierte Version nicht installieren.

Worin genau besteht diese Sicherheitsanfälligkeit?
Die Sicherheitsanfälligkeit bezieht sich auf einen Pufferüberlauf. Ein Angreifer, der diese Sicherheitsanfälligkeit ausnutzt, könnte im schlimmsten Fall Code seiner Wahl auf dem System des Benutzers ausführen. Der Angreifer könnte alle Aktionen ausführen, die auch der berechtigte Benutzer vornehmen kann. Dabei kann es sich um das Erstellen, Verändern oder Löschen von Daten handeln. Der Angreifer könnte auch das System neu konfigurieren oder die Festplatte formatieren.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Die Sicherheitsanfälligkeit resultiert daraus, dass das ActiveX-Steuerelement der lokalen Microsoft-Problembehandlung (Tshoot.ocx) unter bestimmten Bedingungen Parameter nicht einwandfrei überprüft. Ein Angreifer könnte einem Benutzer eine besonders gestaltete E-Mail senden oder ihn dazu verleiten, eine besonders gestaltete Webseite anzuzeigen, um auf diese Weise zu bewirken, dass das ActiveX-Steuerelement so fehlschlägt, dass der Angreifer beliebigen Code ausführen kann.

Was ist ActiveX?
ActiveX ist eine Technologie, durch die Entwickler kleine Programme schreiben können, die als Steuerelemente bezeichnet werden. Webseiten, Visual Basic-Programme und andere Anwendungen können Steuerelemente verwenden. Ein ActiveX-Steuerelement führt eine geringe Anzahl in Beziehung stehender Aufgaben durch und kann als Baustein in wesentlich komplexeren Programmen verwendet werden.

Entwickler können benutzerdefinierte ActiveX-Steuerelemente erstellen. Wenn Entwickler benutzerdefinierte ActiveX-Steuerelemente erstellen, müssen diese Steuerelemente an alle Benutzer verteilt werden. Im Lieferumfang der Produkte von Microsoft und vieler anderer Softwareanbieter sind jedoch ActiveX-Steuerelemente enthalten, damit diese Produkte auf einfache Weise erweitert werden können. Die Sicherheitsanfälligkeit bezieht sich in diesem Fall auf ein ActiveX-Steuerelement, das standardmäßig als Teil des Betriebssystems installiert wird.

Auf welche ActiveX-Steuerelemente bezieht sich die Sicherheitsanfälligkeit?
Das Microsoft Windows-Hilfesystem ist eine Standardkomponente von Windows. Dieses Hilfesystem umfasst die Dokumentation sowie interaktive Assistenten für die Problembehandlung, die Benutzer bei der Diagnose häufig auftretender Probleme unterstützen. In Windows 2000 verwenden die Microsoft Windows-Problembehandlung und das -Hilfesystem ein ActiveX-Steuerelement, das als lokale Microsoft-Problembehandlung (Tshoot.ocx) bezeichnet wird. Die Microsoft Windows-Problembehandlung und das -Hilfesystem verwenden ein ActiveX-Steuerelement, das als lokale Microsoft-Problembehandlung (Tshoot.ocx) bezeichnet wird. Die lokale Microsoft-Problembehandlung interagiert mit dem lokalen Computer, um die Problemdiagnose zu unterstützen. Dieses ActiveX-Steuerelement wurde für die ausschließliche Verwendung durch die Windows-Problembehandlung und das -Hilfesystem konzipiert.

Welcher Fehler liegt bei den betroffenen ActiveX-Steuerelementen vor?
Das betroffene ActiveX-Steuerelement weist einen Pufferüberlauf auf. Da das Steuerelement nach der Installation als "sicher für Skripting" markiert ist, kann Internet Explorer das Steuerelement selbst in der Internetsicherheitszone ohne Benutzereingriff laden. Indem ein Angreifer einen Benutzer dazu verleitet, eine besonders gestaltete Webseite anzuzeigen, könnte er bewirken, dass das ActiveX-Steuerelement so fehlschlägt, dass beliebiger Code ausgeführt werden kann.

Was sind Internet Explorer-Sicherheitszonen?
Das System der Sicherheitszonen von Internet Explorer ordnet Onlineinhalte nach ihrer Vertrauenswürdigkeit einer Kategorie - oder Zone - zu. Bestimmte Webdomänen können je nach Vertrauenswürdigkeit des Inhalts der jeweiligen Domäne einer Zone zugewiesen werden. Die Zone schränkt dann basierend auf den Einstellungen der Zone die Funktionen des Webinhalts ein.

Die meisten Internetdomänen werden der Internetsicherheitszone zugerechnet. Die Einstellungen der Internetsicherheitszone verhindern, dass Skripts und anderer aktiver Code auf Ressourcen im lokalen System zugreifen kann. Im Gegensatz dazu ist die Zone Arbeitsplatz eine weit weniger eingeschränkte Zone. In dieser Zone kann ein Zugriff auf Inhalte sowie eine Änderung von Inhalten auf dem lokalen System erfolgen. Dateien, die auf dem lokalen Computer gespeichert sind, werden standardmäßig in der Zone Arbeitsplatz verwendet.

Wie könnten Angreifer diese Sicherheitsanfälligkeit ausnutzen?
Ein Angreifer, der diese Sicherheitsanfälligkeit ausnutzt, könnte im schlimmsten Fall Code seiner Wahl auf dem System des Benutzers ausführen. Der Angreifer könnte alle Aktionen ausführen, die auch der berechtigte Benutzer vornehmen kann. Dabei kann es sich um das Erstellen, Verändern oder Löschen von Daten handeln. Der Angreifer könnte auch das System neu konfigurieren oder die Festplatte formatieren.

Wie würden Angreifer vorgehen, um diese Sicherheitsanfälligkeit auszunutzen?
Um diese Sicherheitsanfälligkeit auszunutzen, müsste der Angreifer eine besonders gestaltete, HTML-basierte E-Mail erstellen und an den Benutzer senden. Ein Angreifer könnte auch eine zerstörerische Website mit einer Seite einrichten, die diese Sicherheitsanfälligkeit ausnutzt.

Was bewirkt der Patch?
Der Patch beseitigt die Sicherheitsanfälligkeit, indem sichergestellt wird, dass das ActiveX-Steuerelement sämtliche Parameter einwandfrei überprüft.

Zum Seitenanfang

Problemumgehungen

Microsoft hat die folgenden Problemumgehungen geprüft. Diese Problemumgehungen beheben nicht die zugrunde liegende Sicherheitsanfälligkeit, sondern blockieren nur die bekannten Angriffsmethoden. Problemumgehungen können in einigen Fällen eine Einschränkung der Funktionalität nach sich ziehen. Dies wird ggf. nachstehend angegeben.

Verlangen einer Bestätigung, bevor ActiveX-Steuerelemente in der Internet- und Intranetzone ausgeführt werden:

Sie können sich vor dieser Sicherheitsanfälligkeit schützen, indem Sie die Einstellungen in der Internetsicherheitszone so ändern, dass eine Bestätigung verlangt wird, bevor ActiveX-Komponenten ausgeführt werden. Führen Sie zu diesem Zweck die folgenden Schritte durch:

Einschränken von Websites auf ausschließlich vertrauenswürdige Websites

Nachdem Sie eine Bestätigung vor der Ausführung von ActiveX-Steuerelementen in der Internetzone und Intranetzone verlangt haben, können Sie vertrauenswürdige Sites unter Vertrauenswürdige Sites in Internet Explorer hinzufügen. Auf diese Weise können Sie vertrauenswürdige Websites wie zuvor weiterverwenden und sich gleichzeitig vor diesem Angriff von nicht vertrauenswürdigen Sites schützen. Microsoft empfiehlt, der Zone der vertrauenswürdigen Sites nur Sites hinzufügen, denen Sie vertrauen.

Führen Sie zu diesem Zweck die folgenden Schritte durch:

Installieren Sie das Outlook-E-Mail-Sicherheitsupdate, wenn Sie Outlook 2000 SP1 oder eine frühere Version verwenden.

Das Outlook-E-Mail-Sicherheitsupdate bewirkt, dass Outlook 98 und 2000 HTML-E-Mail standardmäßig in der Zone für eingeschränkte Sites öffnen. Outlook Express 6.0 und Outlook 2002 öffnen HTML-E-Mail standardmäßig in der Zone für eingeschränkte Sites. Kunden, die eines dieser Produkte verwenden, gehen nur dann das Risiko eines Angriffs über eine E-Mail ein, mit dem versucht wird, diese Sicherheitsanfälligkeiten auszunutzen, wenn der Benutzer in der E-Mail auf einen zerstörerischen Link klickt.

Wenn Sie Outlook 2002 oder Outlook Express 6.0 SP1 oder höher verwenden, sollten Sie E-Mail-Nachrichten im Nur-Text-Format lesen, um sich vor der Angriffsmethode über HTML-E-Mail zu schützen.

Benutzer von Microsoft Outlook 2002 und Outlook Express 6.0, die Service Pack 1 oder höher installiert haben, können ein Feature aktivieren, um alle nicht digital signierten oder nicht verschlüsselten E-Mail-Nachrichten als Nur-Text anzuzeigen.

Digital signierte oder verschlüsselte E-Mail-Nachrichten sind von dieser Einstellung nicht betroffen und können im Originalformat gelesen werden. Weitere Informationen zum Aktivieren dieser Einstellung in Outlook 2002 finden Sie in folgendem Knowledge Base-Artikel:
http://support.microsoft.com/default.aspx?scid=kb;de;307594

Weitere Informationen zum Aktivieren dieser Einstellung in Outlook Express 6.0 finden Sie in folgendem Knowledge Base-Artikel:
http://support.microsoft.com/default.aspx?scid=kb;de;291387

Ist das Verlangen einer Bestätigung vor der Ausführung von ActiveX-Steuerelementen mit Nebeneffekten verbunden?
Ja. Zahlreiche Websites im Internet setzen ActiveX ein, um zusätzliche Funktionen bereitzustellen. Eine E-Commerce- oder eine Internetbankingsite könnte z. B. mit Hilfe von ActiveX-Steuerelementen Menüs, Bestellformulare oder sogar Abrechnungsdienste anbieten. Die Bestätigung vor der Ausführung von ActiveX-Steuerelementen erfolgt global für alle Internet- und Intranetsites. Sie werden häufig um eine Bestätigung gebeten, wenn Sie diese Problemumgehung aktivieren. Klicken Sie in jeder Eingabeaufforderung auf Ja, um ActiveX-Komponenten auszuführen, wenn Sie der Site vertrauen, die Sie besuchen. Wenn Sie nicht bei all diesen Sites zur Bestätigung aufgefordert werden möchten, können Sie die Problemumgehung "Einschränken von Websites auf ausschließlich vertrauenswürdige Websites" als Alternative nutzen.

Ist die Einschränkung von Websites auf vertrauenswürdige Websites mit Nebeneffekten verbunden?
Ja. Bei den Sites, die Sie nicht der Zone Ihrer vertrauenswürdigen Sites hinzugefügt haben, ist die Funktionalität eingeschränkt, falls für die ordnungsgemäße Funktion ActiveX-Steuerelemente erforderlich sind. Wenn Sie Ihrer Zone der vertrauenswürdigen Sites Sites hinzufügen, sind diese in der Lage, das ActiveX-Steuerelement downzuloaden, das für die einwandfreie Funktion erforderlich ist. Sie sollten der Zone der vertrauenswürdigen Sites jedoch nur Sites hinzufügen, denen Sie vertrauen.

Ist das Lesen von E-Mail-Nachrichten im Nur-Text-Format mit Nebeneffekten verbunden?
Ja. E-Mail-Nachrichten, die im Nur-Text-Format angezeigt werden, können keine Bilder, speziellen Schriftarten, Animationen oder andere umfassende Inhalte enthalten. Außerdem gilt Folgendes:

Zum Seitenanfang

Informationen zum Sicherheitspatch

Windows 2000 Server (alle Versionen)

Voraussetzungen:
Für Windows 2000 erfordert dieser Sicherheitspatch Service Pack 2 (SP2), Service Pack 3 (SP3) oder Service Pack 4 (SP4).

Weitere Informationen zu den Lebenszyklen der Windows-Desktopprodukte finden Sie auf der folgenden Microsoft-Website:
http://support.microsoft.com/default.aspx?scid=fh;[ln];LifeWin

Weitere Informationen finden Sie unter folgender Artikelnummer. Klicken Sie darauf, um den Artikel in der Microsoft Knowledge Base anzuzeigen:
260910 Wie Sie das neueste Service Pack für Windows 2000 erhalten

Informationen zur Installation:
Dieser Sicherheitspatch unterstützt folgende Installationsoptionen:

Installationsoptionen:

Neustartoptionen:

Spezielle Optionen:

Hinweis: Um die Abwärtskompatibiltät des Patches zu garantieren, werden auch Setupoptionen aus älteren Setuputilities unterstützt. Allerdings sollten Sie diese Switches nicht mehr verwenden, da die Unterstützung in zukünftigen Sicherheitspatches unter Umständen nicht mehr enthalten sein wird.

Informationen zur Bereitstellung:
Verwenden Sie die folgende Befehlszeile, um den Sicherheitspatch ohne Benutzereingriff zu installieren:

Für Windows 2000 Service Pack 3, Windows 2000 Service Pack 4:

Für Windows 2000 Service Pack 2:

Verwenden Sie die folgende Befehlszeile, um den Sicherheitspatch ohne Erzwingen eines Neustarts des Computers zu installieren:

Für Windows 2000 Service Pack 3, Windows 2000 Service Pack 4:

Für Windows 2000 Service Pack 2:

Hinweis: Diese Optionen können in einer Befehlszeile kombiniert werden.

Weitere Informationen zur Bereitstellung dieses Sicherheitspatches über Software Update Services finden Sie auf der folgenden Microsoft-Website:
http://www.microsoft.com/windows2000/windowsupdate/sus/susoverview.asp

Neustartanforderung:
In einigen Fällen ist nach der Installation dieses Patches kein Neustart des Computers erforderlich. Der Installer hält die benötigten Dienste an, installiert den Patch und startet die Dienste neu. Falls jedoch die Dienste aus irgendeinem Grund nicht angehalten werden können oder eine benötigte Datei gerade benutzt wird, ist ein Neustart des Computers erforderlich. In diesem Fall wird auf dem Bildschirm eine Meldung angezeigt, die Sie auf den erforderlichen Neustart hinweist.

Informationen zur Entfernung:
Um diesen Patch zu entfernen, verwenden Sie die Option Software in der Systemsteuerung.

Systemadministratoren können das Dienstprogramm Spuninst.exe zum Entfernen dieses Patches verwenden. Spuninst.exe befindet sich im Ordner %Windir%\$NTUninstallKB823182$\Spuninst; das Dienstprogramm unterstützt die folgenden Installationsoptionen:

Dateiinformationen:
Die englische Version dieses Patches besitzt die Dateiattribute (oder welche mit neuerem Datum), die in der folgenden Tabelle aufgelistet werden. Die Datums- und Uhrzeitangaben für diese Dateien sind in UTC (Coordinated Universal Time) aufgeführt. Wenn Sie die Dateiinformationen anzeigen, werden diese in lokale Zeitangaben umgewandelt. Um die Differenz zwischen UTC und der Ortszeit zu ermitteln, verwenden Sie die Registerkarte Zeitzone des Tools Datum und Uhrzeit in der Systemsteuerung.

Windows 2000 Service Pack 2, Windows 2000 Service Pack 3, Windows 2000 Service Pack 4:

DateTimeVersionSizeFile Name
07-Oct-2003 23:08 1.0.1.2125 107,792 tshoot.ocx

Überprüfen der Patchinstallation:
Um zu überprüfen, ob der Sicherheitspatch auf dem Computer installiert wurde, verwenden Sie das Tool MBSA (Microsoft Baseline Security Analyzer). Weitere Informationen zu MBSA finden Sie unter folgender Artikelnummer. Klicken Sie darauf, um den Artikel in der Microsoft Knowledge Base anzuzeigen:
320454 Microsoft Baseline Security Analyzer (MBSA) Version 1.1.1 verfügbar

Möglicherweise können Sie die Dateien, die von diesem Sicherheitspatch installiert wurden, auch durch die Prüfung des folgenden Registrierungsschlüssels überprüfen:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB826232\Filelist

Hinweis: Dieser Registrierungsschlüssel wird möglicherweise nicht einwandfrei erstellt, wenn ein Administrator oder OEM den Sicherheitspatch 824146 in die Windows-Installationsquelldateien integriert oder einbindet.

Zum Seitenanfang

Sonstige Informationen

Danksagung:
Microsoft dankt  folgenden Personen bzw. Firmen, dass dies mit uns zusammengearbeitet haben, um unsere Kunden zu schützen:

Weitere Sicherheitspatches:
Patches für andere Sicherheitsrisiken sind unter den folgenden Adressen erhältlich:

Unterstützung:
Technischer Support ist über den Microsoft-Produktsupport erhältlich. Anfragen zu Sicherheitspatches sind kostenlos.

Sicherheitsressourcen:

Verzichtserklärung:
Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Revisionen:

Zum Seitenanfang