Microsoft Security Bulletin MS06-056

Sicherheitsanfälligkeit in ASP.NET 2.0 kann Offenlegung von Informationen ermöglichen (922770)

Veröffentlicht: 10. Okt 2006 | Aktualisiert: 29. Nov 2006

Version: 1.3

Zusammenfassung

Zielgruppe dieses Dokuments: Benutzer von Microsoft Windows .NET Framework 2.0

Auswirkung der Sicherheitsanfälligkeit: Offenlegung von Informationen

Bewertung des maximalen Schweregrads: Mittel

Empfehlung: Benutzer sollten das Sicherheitsupdate installieren.

Ersetzung von Sicherheitsupdates: Keine

Vorsichtsmaßnahmen: Im Microsoft Knowledge Base-Artikel 922770 werden die derzeit bekannten Probleme bei der Installation dieses Sicherheitsupdates beschrieben. Im Artikel werden auch Lösungen für diese Probleme empfohlen. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 922770.

Getestete Software und Downloadpfade für das Update:

Betroffene Software:

Microsoft .NET Framework 2.0 für folgende Betriebssystemversionen: Update herunterladen

•	Microsoft Windows 2000 Service Pack 4
•	Microsoft Windows XP Service Pack 1 oder Microsoft Windows XP Service Pack 2
•	Microsoft Windows XP Professional x64 Edition
•	Microsoft Windows XP Tablet PC Edition
•	Microsoft Windows XP Media Center Edition
•	Microsoft Windows Server 2003 oder Microsoft Windows Server 2003 Service Pack 1
•	Microsoft Windows Server 2003 mit SP1 für Itanium-basierte Systeme
•	Microsoft Windows Server 2003 x64 Edition

Nicht betroffene Software:

•	Microsoft Windows Server 2003 für Itanium-basierte Systems

Getestete Microsoft Windows-Komponenten:

Betroffene Komponenten:

•	Microsoft .NET Framework 2.0

Nicht betroffene Komponenten:

•	Microsoft .NET Framework 1.0
•	Microsoft .NET Framework 1.1

Die in der Liste aufgeführte Software wurde daraufhin getestet, ob sie betroffen ist. Für andere Versionen ist entweder keine weitere Unterstützung für Sicherheitsupdates erhältlich oder sie sind möglicherweise nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihr Produkt und Ihre Version zu ermitteln.

Hinweis: Die Sicherheitsupdates für Microsoft Windows Server 2003, Windows Server 2003 Service Pack 1 und Windows Server 2003 x64 Edition gelten auch für Windows Server 2003 R2.

Top of section

Allgemeine Informationen

Kurzzusammenfassung

Kurzzusammenfassung:

Dieses Update behebt eine neue, von einem Privatanwender entdeckte Sicherheitsanfälligkeit. Die Sicherheitsanfälligkeit wird im Abschnitt „Einzelheiten zu dieser Sicherheitsanfälligkeit“ dieses Bulletins dokumentiert.

Die Sicherheitsanfälligkeit könnte einem Angreifer den unerlaubten Zugriff auf Daten ermöglichen. Beachten Sie, dass diese Sicherheitsanfälligkeit einem Angreifer keine Codeausführung zur direkten Erhöhung von Benutzerrechten ermöglicht, sondern dazu verwendet werden kann, nützliche Informationen zu sammeln, mit denen das betroffene System noch weiter gefährdet werden könnte.

Wir empfehlen Benutzern, dieses Sicherheitsupdate zu installieren.

Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeit:

Kennungen der Sicherheitsanfälligkeit	Auswirkung der Sicherheitsanfälligkeit	.NET Framework 2.0
Sicherheitsanfälligkeit in .NET Framework 2.0 bezüglich siteübergreifender Skripterstellung – CVE-2006-3436	Offenlegung von Informationen	Mittel

Top of section

Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate

Warum ist Microsoft Windows Server 2003 für Itanium-basierte Systeme als 'Nicht betroffene Software' aufgeführt?
Microsoft .NET Framework 2.0 kann nicht unter Microsoft Windows Server 2003 für Itanium-basierte System installiert werden.

Warum kann Microsoft .NET Framework 2.0 nicht unter Microsoft Windows Server 2003 für Itanium-basierte System installiert werden?
Windows Installer 3.1 wird von Microsoft Windows Server 2003 für Itanium-basierte Systeme nicht unterstützt, sondern nur von Windows Server 2003 mit Service Pack 1 für Itanium-basierte Systeme.

Gibt es Probleme, die auftreten können, wenn ich das Sicherheitsupdate installiere?
Im Microsoft Knowledge Base-Artikel 922770 werden die derzeit bekannten Probleme bei der Installation dieses Sicherheitsupdates beschrieben. Im Artikel werden auch Lösungen für diese Probleme empfohlen. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 922770.

•	Microsoft Knowledge Base-Artikel 923100: You cannot install the security update that security bulletin MS06-056 describes or you may receive a "0x643" error code
•	Microsoft Knowledge Base-Artikel 923101: Error message when you try to install security update 917283 on a computer that is running Windows Server 2003: "Error 1324. The folder 'Program Files' contains an invalid character"
•	Microsoft Knowledge Base Article 929110 : A file system that was case sensitive becomes case insensitive after you install an update for the .NET Framework 2.0 (929110)

Die Extended Support-Phase für Sicherheitsupdates für Microsoft Windows NT Workstation 4.0 Service Pack 6a und Windows 2000 Service Pack 2 ist am 30. Juni 2004 abgelaufen. Die Extended Support-Phase für Sicherheitsupdates für Microsoft Windows NT Server 4.0 Service Pack 6a ist am 31. Dezember 2004 abgelaufen. Die Extended Support-Phase für Sicherheitsupdates für Microsoft Windows 2000 Service Pack 3 ist am 30. Juni 2005 abgelaufen. Ich verwende noch eines dieser Betriebssysteme, was soll ich tun?
Windows NT Workstation 4.0 Service Pack 6a, Windows NT Server 4.0 Service Pack 6a, Windows 2000 Service Pack 2 und Windows 2000 Service Pack 3 haben das Ende ihres Lebenszyklus erreicht. Benutzer dieser Betriebssystemversionen sollten möglichst bald zu Versionen migrieren, für die Support angeboten wird, um sich vor künftigen Sicherheitsanfälligkeiten zu schützen. Weitere Informationen zu den Windows-Produktzyklen finden Sie auf der Website Microsoft Support Lifecycle. Weitere Informationen zur Extended Support-Phase und der Bereitstellung von Sicherheitsupdates für diese Betriebssystemversionen finden Sie auf der Website Microsoft Support Services.

Benutzer, die zusätzlichen Support für diese Produkte benötigen, müssen sich an ihren Microsoft-Kundenbetreuer, Ihren Technical Account Manager oder den jeweiligen Microsoft-Partner wenden, um Supportangebote in Anspruch nehmen zu können. Kunden, die nicht über einen Alliance-, Premier- oder Authorized-Vertrag verfügen, können sich mit der regionalen Microsoft-Vertriebsniederlassung in Verbindung setzen. Kontaktinformationen finden Sie auf der Website Microsoft Worldwide. Wählen Sie Ihr Land aus, und klicken Sie auf Go. Es wird eine Telefonnummer für Ihr Land angezeigt. Wenn Sie unter der angegebenen Nummer anrufen, fragen Sie bitte nach dem regionalen Vertriebsmanager für Premier Support. Weitere Informationen finden Sie unter Häufig gestellte Fragen zum Supportlebenszyklus für Windows.

Kann ich mit dem Microsoft Baseline Security Analyzer (MBSA) überprüfen, ob dieses Update erforderlich ist?

Die folgende Tabelle enthält die Zusammenfassung zur MBSA-Erkennung für dieses Sicherheitsupdate.

Produkt	MBSA 1.2.1	Enterprise Update Scan Tool (EST)	MBSA 2.0
.NET Framework 2.0	Nein	Ja	Ja

Weitere Informationen zu MBSA finden Sie auf der MBSA-Website. Weitere Informationen zu den Programmen, die Microsoft Update und MBSA 2.0 derzeit nicht erkennen, finden Sie im Microsoft Knowledge Base-Artikel 895660.

Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 910723.

Was ist das Enterprise Update Scan Tool (EST)?
Im Rahmen der Bemühungen, Erkennungsprogramme für Sicherheitsupdates des Bulletins bereitzustellen, stellt Microsoft ein eigenständiges Erkennungsprogramm zur Verfügung, wenn der Microsoft Baseline Security Analyzer (MBSA) und das Office Detection Tool (ODT) nicht erkennen können, ob das Update für eine Veröffentlichung des Microsoft Security Response Centers erforderlich ist. Dieses eigenständige Programm heißt Enterprise Update Scan Tool (EST) und wurde für Unternehmensadministratoren entwickelt. Wenn eine Version des Enterprise Update Scan Tools für ein bestimmtes Bulletin erstellt wurde, können Benutzer das Programm von einer Befehlzeilenschnittstelle (CLI, command line interface) ausführen und die Ergebnisse in der XML-Ausgabedatei anzeigen. Damit Benutzer das Programm besser einsetzen können, wird eine ausführliche Dokumentation zum Programm bereitgestellt. Zudem ist eine Version des Programms verfügbar, die SMS-Administratoren eine integrierte Lösung bietet.

Kann ich mit einer Version desEnterprise Update Scan Tool (EST) feststellen, ob dieses Update erforderlich ist?
Ja. Microsoft hat eine Version von EST entwickelt, mit der Sie ermitteln können, ob dieses Update installiert werden muss. Weitere Downloadlinks und Information zur Version des diesen Monat veröffentlichten EST finden Sie im Microsoft Knowledge Base-Artikel 894193. Benutzer von SMS finden unter der häufig gestellten Frage (FAQ) „Kann ich mit Systems Management Server (SMS) überprüfen, ob dieses Update erforderlich ist?“ weitere Informationen zu SMS und EST.

Kann ich mit Systems Management Server (SMS) überprüfen, ob dieses Update erforderlich ist?
In der folgenden Tabelle ist die Zusammenfassung zur SMS-Erkennung für dieses Sicherheitsupdate enthalten.

Produkt	SMS 2.0	SMS 2003
.NET Framework 2.0	Ja (mit EST)	Ja

SMS nutzt MBSA für die Erkennung. Daher weist SMS dieselbe Einschränkung auf, die weiter oben in diesem Bulletin bezüglich der Programme aufgeführt ist, die von MBSA nicht erkannt werden.

Im Fall von SMS 2.0 kann von SMS zum Auffinden von Sicherheitsupdates das SMS SUS Feature Pack, das das Sicherheitsupdate-Inventurprogramm enthält, verwendet werden. SMS SUIT verwendet das MBSA 1.2.1-Programm für die Erkennung. Weitere Informationen zum Sicherheitsupdate-Inventurprogramm finden Sie auf der folgenden Microsoft-Website. Weitere Informationen zu den Einschränkungen des Sicherheitsupdate-Inventurprogramms finden Sie im Microsoft Knowledge Base-Artikel 306460. Das SMS SUS Feature Pack enthält auch das Microsoft Office-Inventurprogramm zur Erkennung der für Microsoft Office-Anwendungen erforderlichen Updates.

Im Fall von SMS 2003 kann von SMS zum Auffinden von unter Microsoft Updates erhältlichen Sicherheitsupdates und Updates, die von Windows Server Update Services unterstützt werden, das SMS 2003-Inventurprogramm für Microsoft-Updates verwendet werden. Weitere Informationen über das SMS 2003-Inventurprogramm für Microsoft Updates finden Sie auf der folgenden Microsoft-Website. SMS 2003 kann auch das Microsoft Office-Inventurprogramm zur Erkennung der für Microsoft Office-Anwendungen erforderlichen Updates verwenden.

Weitere Informationen zu SMS finden Sie auf der SMS-Website.

Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 910723.

Top of section

Einzelheiten zu dieser Sicherheitsanfälligkeit

Sicherheitsanfälligkeit in .NET Framework 2.0 bezüglich siteübergreifender Skripterstellung – CVE-2006-3436:

Auf Servern, auf denen eine gefährdete Version von .Net Framework 2.0 ausgeführt wird, liegt eine Sicherheitsanfälligkeit bezüglich siteübergreifender Skripterstellung vor, durch die ein clientseitiges Skript im Browser des Benutzers eingeschleust werden könnte. Das Skript könnte Inhalte vortäuschen, Informationen offenlegen oder jede andere Aktion ausführen, die ein Benutzer auf der betroffenen Website vornehmen kann. Für die Ausnutzung dieser Sicherheitsanfälligkeit ist eine Benutzeraktion erforderlich.

Schadensbegrenzende Faktoren für die Sicherheitsanfälligkeit in .NET Framework 2.0 bezüglich siteübergreifender Skripterstellung – CVE-2006-3436:

•

In einem webbasierten Angriffsszenario könnte ein Angreifer mit einem manipulierten Webserver ein clientseitiges Skript im Browser des Benutzers einschleusen. Das Skript könnte Inhalte vortäuschen, Informationen offenlegen oder jede andere Aktion ausführen, die ein Benutzer auf der betroffenen Website vornehmen kann. Für die Ausnutzung dieser Sicherheitsanfälligkeit ist eine Benutzeraktion erforderlich.

•

Standardmäßig wird die AutoPostBack-Eigenschaft durch .NET Framework 2.0-Steuerelemente nicht auf „true“ gesetzt.

Top of section

Problemumgehungen für die Sicherheitsanfälligkeit in .NET Framework 2.0 bezüglich siteübergreifender Skripterstellung – CVE-2006-3436:

Microsoft hat die folgenden Problemumgehungen getestet. Diese Problemumgehungen beheben nicht die zugrunde liegende Sicherheitsanfälligkeit, sondern blockieren nur die bekannten Angriffsmethoden. Wenn die Funktionalität durch eine Problemumgehung verringert wird, so wird diese Einschränkung im folgenden Abschnitt genannt.

•

Setzen Sie auf Computern, auf denen .NET Framework 2.0 ausgeführt wird, die AutoPostBack-Eigenschaft für Steuerelemente auf einer Seite nicht auf den Wert „true“:

•	Auf Computern mit .NET Framework 2.0 ist AutoPostBack eine Eigenschaft für Steuerelemente auf einem Webformular. Die AutoPostBack-Eigenschaft ist standardmäßig auf false gesetzt. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 328923.

Top of section

Häufig gestellte Fragen (FAQs) zur Sicherheitsanfälligkeit in .NET Framework 2.0 bezüglich siteübergreifender Skripterstellung – CVE-2006-3436:

Worin genau besteht diese Sicherheitsanfälligkeit?
Auf Servern, auf denen eine gefährdete Version von .Net Framework 2.0 ausgeführt wird, kann es zu einer Sicherheitsanfälligkeit bezüglich siteübergreifender Skripterstellung kommen, über die ein clientseitiges Skript im Browser des Benutzers eingeschleust werden könnte. Die Sicherheitsanfälligkeit liegt innerhalb von ASP.NET-Steuerelementen vor, die für die AutoPostBack-Eigenschaft den Wert „true“ festlegen. In einem webbasierten Angriffsszenario könnte eine manipulierte Website von Benutzern bereitgestellte Inhalte oder Werbemitteilungen mit speziell gestalteten Inhalten akzeptieren oder hosten, mit den diese Sicherheitsanfälligkeit ausgenutzt werden kann.

Das Skript könnte im Namen des Benutzers Maßnahmen ergreifen, zu deren Durchführung die Website berechtigt ist. Dies könnte z. B. Folgendes beinhalten: Überwachen der Websitzung und Weiterleiten von Informationen an Dritte, Ausführen fremden Codes auf dem System des Benutzers und das Erstellen von Cookies.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Die Sicherheitsanfälligkeit bezüglich siteübergreifender Skripterstellung wird dadurch verursacht, wie der Wert einer HTTP-Anforderung von .NET Framework 2.0 überprüft wird.

Was ist ASP.NET?
ASP.NET ist eine Technologiesammlung in .Net Framework, die es Entwicklern ermöglicht, Webanwendungen und XML-Webdienste zu erstellen.

Im Unterschied zu herkömmlichen Webseiten, die auf einer Kombination aus statischer HTML und Skripterstellung beruhen, verwendet ASP.NET kompilierte, ereignisgesteuerte Seiten. So können Entwickler webbasierte Anwendungen mit der gleichen Fülle an Funktionen erstellen, die sonst nur mit Sprachen wie Visual Basic oder Visual C++ erreicht werden. Da es sich bei ASP.NET um eine webbasierte Anwendungsumgebung handelt, muss die grundlegende HTTP-Funktionalität über einen Webserver bereitgestellt werden. Aus diesem Grund wird ASP.NET auf der Basis von Internet Information Services (IIS) 5.0 unter Windows 2000, IIS 5.1 unter Windows XP und IIS 6.0 unter Windows Server 2003 ausgeführt.

Was ist AutoPostBack?
AutoPostBack ist eine Eigenschaft, die von Steuerelementen in einem Formular unterstützt wird. Formulare mit einem Steuerelement, das diese Eigenschaft unterstützt, können für diese Eigenschaft (anstelle der Standardeinstellung „false“) den Wert „true“ festlegen, wodurch das Steuerelement bei jeder Interaktion mit einem Benutzer ein Postback an den Server sendet.

Was ist siteübergreifende Skripterstellung?
Die siteübergreifende Skripterstellung (XSS) ist eine Sicherheitsanfälligkeitsklasse, die es einem Angreifer ermöglichen kann, Skriptcode in die Websitesitzung eines Benutzers einzuschleusen. Von der Sicherheitsanfälligkeit können Webserver betroffen sein, die dynamisch HTML-Seiten generieren. Wenn diese Server Browsereingaben in den dynamischen Seiten einbetten, die sie an den Browser zurücksenden, können die Server manipuliert werden, schädliche Inhalte in die dynamischen Seiten aufzunehmen, sodass ein schädliches Skript ausgeführt werden kann. Webbrowser können dieses Problem ausweiten, da sie von „vertrauenswürdigen“ Sites ausgehen und Cookies verwenden, um die besuchten Websites stets im gewohnten Zustand zu erhalten. Bei einem XSS-Angriff werden keine Websiteinhalte modifiziert. Stattdessen wird ein neues, schädliches Skript eingefügt, das im Browser im Kontext ausgeführt werden kann, der mit einem vertrauenswürdigen Server verknüpft ist.

Wie funktioniert siteübergreifende Skripterstellung?
Webseiten enthalten Text- und HTML-Markups, die vom Server erzeugt und vom Client interpretiert werden. Wenn also nicht vertrauenswürdige Inhalte in eine dynamische Seite eingeschleust werden, verfügen weder Server noch Client über ausreichend Informationen, um die eingeschleusten Inhalte zu erkennen und Schutzmaßnahmen zu ergreifen.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Ein Angreifer, der diese Sicherheitsanfälligkeit auf einem Server mit einer gefährdeten Version von .NET Framework 2.0 erfolgreich ausnutzt, kann ein clientseitiges Skript im Browser des Benutzers einschleusen. Das Skript könnte Inhalte vortäuschen, Informationen offenlegen oder jede andere Aktion ausführen, die ein Benutzer auf der betroffenen Website vornehmen kann. Für die Ausnutzung dieser Sicherheitsanfälligkeit ist eine Benutzeraktion erforderlich.

Wer könnte diese Sicherheitsanfälligkeit ausnutzen?
In einem E-Mail-Angriffsszenario könnte ein Angreifer diese Sicherheitsanfälligkeit ausnutzen, indem er an einen Benutzer eines Servers, der eine betroffene Softwareanwendung ausführt, eine speziell gestaltete E-Mail-Nachricht sendet. Der Angreifer könnte den Benutzer dazu verleiten, in der E-Mail-Nachricht auf einen Link zu klicken.

In einem webbasierten Angriffsszenario könnte ein Angreifer mit einer manipulierten Webanwendung ein clientseitiges Skript im Browser des Benutzers einschleusen. Das Skript könnte Inhalte vortäuschen, Informationen offenlegen oder jede andere Aktion ausführen, die ein Benutzer auf der betroffenen Website vornehmen kann. Für die Ausnutzung dieser Sicherheitsanfälligkeit ist eine Benutzeraktion erforderlich.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Systeme, die mit dem Internet verbunden sind, sind von dieser Sicherheitsanfälligkeit besonders betroffen. Auch interne Websites, deren vertrauliche Daten über ASP.NET gehostet werden, können von dieser Sicherheitsanfälligkeit betroffen sein.

Kann diese Sicherheitsanfälligkeit über das Internet ausgenutzt werden?
Ja. Ein Angreifer könnte diese Sicherheitsanfälligkeit über das Internet ausnutzen.

Was bewirkt das Update?
Das Update behebt die Sicherheitsanfälligkeit, indem geändert wird, wie ASP.NET den Wert einer HTTP-Anforderung überprüft.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Nein. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit für Angriffe auf Benutzer ausgenutzt wurde. Auch gab es keine Codebeispiele für ein Angriffskonzept.

Top of section

Informationen zum Sicherheitsupdate

Betroffene Software:

Um Informationen zum jeweiligen Sicherheitsupdate für Ihre betroffene Software zu erhalten, klicken Sie auf den entsprechenden Link:

Microsoft .NET Framework Version 2.0

Voraussetzungen
Für dieses Sicherheitsupdate ist Microsoft .NET Framework Version 2.0 erforderlich.

Microsoft Windows Installer 3.1 muss installiert sein. Um die aktuelle Version von Windows Installer zu installieren, besuchen Sie die folgende Microsoft-Website:

Windows Installer 3.1 Redistributable (v2)

Aufnahme in zukünftige Service Packs:
Das Update für dieses Problem wird in einem zukünftigen Service Pack enthalten sein.

Informationen zur Installation

Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.

Unterstützte Installationsoptionen für das Sicherheitsupdate
Option	Beschreibung
/help	Zeigt die Befehlszeilenoptionen an.
Installationsmodi
/q[n\|b\|r\|f]	Legt die Ebene des Benutzereingriffs fest. n – Kein Benutzereingriff b – Einfacher Benutzereingriff r – Reduzierter Benutzereingriff f – Vollständiger Benutzereingriffe (Standard)
Installationsoptionen
/extract [Verzeichnis]	Extrahiert das Paket in das angegebene Verzeichnis.
Neustartoptionen
/norestart	Kein Neustart nach Abschluss der Installation.
/forcerestart	Startet den Computer nach der Installation neu und erzwingt beim Herunterfahren das Schließen aller Anwendungen, ohne geöffnete Dateien zuvor zu speichern.
/promptrestart	Zeigt ein Dialogfeld an, in dem der lokale Benutzer zur Bestätigung des Neustarts aufgefordert wird.
Protokolloptionen
*/l[i\|w\|e\|a\|r\|u\|c\|m\|o\|p\|v\|x\|+\|!\|] <Protokolldatei>**	i – Statusmeldungen w – Nicht schwerwiegende Warnungen e – Alle Fehlermeldungen a – Start von Aktionen r – Aktionsspezifische Einträge u – Benutzeranforderungen c – Ursprüngliche Benutzeroberflächenparameter m – Informationen bezüglich Arbeitsspeichermangels oder schwerwiegenden Abbruchs o – Meldungen bezüglich zuwenig Speicherplatzmangel p – Terminaleigenschaften v – Ausführliche Ausgabe x – Zusätzliche Debuginformationen + – An vorhandene Protokolldatei anfügen ! – Jede Zeile ins Protokoll aufnehmen * – Alle Informationen mit Ausnahme der Optionen v und x protokollieren
/log <Protokolldatei>	Entspricht /l* <Protokolldatei>

Hinweis: Diese Optionen können in einem Befehl kombiniert werden. Weitere Informationen zu den möglichen Installationsoptionen finden Sie im Microsoft Knowledge Base-Artikel 824687. Weitere Informationen zu Windows Installer finden Sie auf der MSDN-Website.

Informationen zur Bereitstellung

Verwenden Sie den zutreffenden Befehl an einer Eingabeaufforderung, um das Sicherheitsupdate ohne Benutzereingriff zu installieren:

NDP20-KB922770-x86.exe /qn

NDP20-KB922770-x64.exe /qn

NDP20-KB922770-ia64.exe /qn

Hinweis: Durch die Verwendung der Installationsoption /qn werden alle Meldungen unterdrückt. Dies gilt auch für Fehlermeldungen. Bei Verwendung der Installationsoption /qn sollten Administratoren anhand einer der empfohlenen Methoden überprüfen, ob die Installation erfolgreich war.

Verwenden Sie den zutreffenden Befehl an einer Eingabeaufforderung, um das Sicherheitsupdate ohne Erzwingen eines Systemneustarts zu installieren:

NDP20-KB922770-x86.exe /norestart

NDP20-KB922770-x64.exe /norestart

NDP20-KB922770-ia64.exe /norestart

Weitere Informationen zum Bereitstellen dieses Sicherheitsupdates mit Software Update Services finden Sie auf der Website zu Software Update Services. Weitere Informationen zum Bereitstellen dieses Sicherheitsupdates mithilfe der Windows Server Update Services finden Sie auf der Windows Server Update Services-Website. Dieses Update ist auch über die Microsoft Update-Website verfügbar.

Neustartanforderung
Für dieses Update ist kein Neustart des Computers erforderlich. Das Installationsprogramm beendet die erforderlichen Dienste, installiert das Update und startet die Dienste dann neu. Wenn jedoch die erforderlichen Dienste aus irgendwelchen Gründen nicht beendet werden können oder benötigte Dateien aktuell verwendet werden, ist für dieses Update ein Neustart des Computers erforderlich. In diesem Fall wird eine Meldung angezeigt, die über den erforderlichen Neustart informiert.

Damit nicht unbedingt ein Neustart ausgeführt werden muss, beenden Sie alle betroffenen Dienste, und schließen Sie alle Anwendungen, die auf die betroffenen Dateien zugreifen, bevor Sie das Sicherheitsupdate installieren. Weitere Informationen zu möglichen Gründen für einen Neustart des Computers finden Sie im Microsoft Knowledge Base-Artikel 887012.

Informationen zur Deinstallation
Verwenden Sie zum Entfernen dieses Updates die Option „Software“ in der Systemsteuerung.

Dateiinformationen
Die englische Version dieses Updates besitzt die in der folgenden Tabelle aufgelisteten Dateiattribute (u. U. mit neuerem Datum). Die Datums- und Zeitangaben für diese Dateien werden in UTC (Universal Time Coordinated) aufgeführt. Wenn Sie die Dateiinformationen anzeigen, werden diese in lokale Zeitangaben umgewandelt. Um die Differenz zwischen UTC und der Ortszeit zu ermitteln, verwenden Sie die Registerkarte Zeitzone des Tools „Datum und Uhrzeit“ in der Systemsteuerung.

Microsoft .NET Framework Version 2.0

Dateiname	Version	Datum	Uhrzeit	Größe
aspnet_wp.exe	2.0.50727.210	13-Sep-2006	00:10	23.040
webengine.dll	2.0.50727.210	13-Sep-2006	00:10	300.032
System.web.dll	2.0.50727.210	13-Sep-2006	00:11	5.029.888

Microsoft .NET Framework Version 2.0 unter Windows Server 2003 Enterprise Edition für Itanium-basierte Systeme, Windows Server 2003 Datacenter Edition für Itanium-basierte Systeme, Windows Server 2003 Enterprise Edition mit SP1 für Itanium-basierte Systeme und Windows Server 2003 Datacenter Edition mit SP1 für Itanium-basierte Systeme:

Dateiname	Version	Datum	Uhrzeit	Größe
aspnet_wp.exe	2.0.50727.210	12-Sep-2006	04:18	73.728
aspnet_wp.exe	2.0.50727.210	13-Sep-2006	00:10	23.040
webengine.dll	2.0.50727.210	12-Sep-2006	04:18	868.864
webengine.dll	2.0.50727.210	13-Sep-2006	00:10	300.032
System.web.dll	2.0.50727.210	12-Sep-2006	08:24	4.599.808
System.web.dll	2.0.50727.210	13-Sep-2006	00:11	5.029.888

Microsoft .NET Framework Version 2.0 für Windows Server 2003 Standard x64 Edition, Windows Server 2003 Enterprise x64 Edition, Windows Server 2003 Datacenter x64 Edition, Windows Server 2003 R2 Standard x64 Edition, Windows Server 2003 R2 Enterprise x64 Edition und Windows Server 2003 R2 Datacenter x64 Edition:

Dateiname	Version	Datum	Uhrzeit	Größe
aspnet_wp.exe	2.0.50727.210	12-Sep-2006	04:11	34.816
aspnet_wp.exe	2.0.50727.210	13-Sep-2006	00:10	23.040
webengine.dll	2.0.50727.210	12-Sep-2006	04:11	540.672
webengine.dll	2.0.50727.210	13-Sep-2006	00:10	300.032
System.web.dll	2.0.50727.210	12-Sep-2006	07:32	4.964.352
System.web.dll	2.0.50727.210	13-Sep-2006	00:11	5.029.888

Überprüfen der Updateinstallation

Informationen zur Dateiversion

Hinweis: Da mehrere Versionen von Microsoft Windows verfügbar sind, können die auf Ihrem Computer erforderlichen Schritte von den angegebenen Schritten abweichen. Lesen Sie in diesem Fall die Produktdokumentation, um die erforderlichen Schritte durchzuführen.

1.	Klicken Sie auf Start und dann auf Suchen.
2.	Klicken Sie im Bereich Suchergebnisse unter Such-Assistent auf Alle Dateien und Ordner.
3.	Geben Sie im Feld Gesamter oder Teil des Dateinamens den Dateinamen aus der entsprechenden Dateiinformationstabelle an, und klicken Sie dann auf Suchen.
4.	Klicken Sie in der Liste der Dateien mit der rechten Maustaste auf einen Dateinamen in der entsprechenden Dateiinformationstabelle, und klicken Sie dann auf Eigenschaften.
5.	Ermitteln Sie mithilfe der Registerkarte Version die Version der Datei, die auf Ihrem Computer installiert ist, indem Sie diese mit der Version vergleichen, die in der entsprechenden Dateiinformationstabelle aufgeführt wird. Hinweis: Neben der Dateiversion ändern sich bei der Installation möglicherweise auch andere Attribute. Andere Dateiattribute anhand der Daten in der Dateiinformationstabelle zu vergleichen, ist keine empfohlene Methode, um Updateinstallationen zu überprüfen. In bestimmten Fällen werden Dateien möglicherweise während der Installation umbenannt. Wenn Datei- oder Versionsinformationen nicht vorhanden sind, wählen Sie eine andere Methode, um die Updateinstallation zu überprüfen.

Top of section

Danksagungen

Microsoft dankt den folgenden Personen, dass sie zum Schutz unserer Kunden mit uns zusammengearbeitet haben:

•	Jaswinder Hayre vom Ernst & Young Advanced Security Center für den Hinweis auf die Sicherheitsanfälligkeit in .NET Framework 2.0 bezüglich siteübergreifender Skripterstellung – CVE-2006-3436.

Weitere Sicherheitsupdates:

Updates für andere Sicherheitsrisiken sind unter den folgenden Adressen erhältlich:

•	Sicherheitsupdates sind im Microsoft Download Center verfügbar und können am einfachsten durch eine Suche nach dem Begriff „security_patch“ oder „security_update“ ermittelt werden.
•	Updates für Kundenplattformen können Sie auf der Microsoft Update-Website abrufen.

Support:

•	Technischer Support ist über die Microsoft Support Services erhältlich. Supportanrufe zu Sicherheitsupdates sind kostenlos.
•	Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Supportanfragen zu Sicherheitsupdates sind kostenlos. Weitere Informationen dazu, wie Sie Microsoft in Bezug auf Supportfragen kontaktieren können, finden Sie auf der International Support-Website.

Sicherheitsressourcen:

•	Die Website TechNet Sicherheit bietet weitere Informationen zur Sicherheit von Microsoft-Produkten.
•	TechNet Update Management Center
•	Microsoft Software Update Services
•	Microsoft Windows Server Update Services
•	Microsoft Baseline Security Analyzer (MBSA)
•	Windows Update
•	Microsoft Update
•	Windows Update-Katalog: Weitere Informationen zum Windows Update-Katalog finden Sie im Microsoft Knowledge Base-Artikel 323166.
•	Office Update

Software Update Services:

Mit den Microsoft Software Update Services (SUS) können Sie als IT-Administrator neue wichtige Updates, Hotfixes oder Patches schnell und zuverlässig auf den Servern und Desktop-Computern in Ihrem Netzwerk bereitstellen. Die SUS unterstützen die Produkte der Windows 2000 Server- und Windows Server 2003-Familie sowie Windows 2000 Professional und Windows XP Professional.

Weitere Informationen zum Bereitstellen von Sicherheitsupdates mithilfe der Software Update Services finden Sie auf der Software Update Services-Website.

Windows Server Update Services:

Mithilfe der Windows Server Update Services (WSUS) können Administratoren die neuesten wichtigen Aktualisierungen und Sicherheitsupdates für Windows 2000 und später, Office XP und später, Exchange Server 2003 und SQL Server 2000 schnell und zuverlässig bereitstellen.

Weitere Informationen zum Bereitstellen von Sicherheitsupdates mithilfe der Windows Server Update Services finden Sie auf der Windows Server Update Services-Website.

Systems Management Server:

Der Systems Management Server (SMS) von Microsoft stellt eine wertvolle Hilfe beim Bereitstellen von Sicherheitsupdates in Ihrer IT-Umgebung dar. Durch die Verwendung von SMS können Administratoren auf Windows basierte Systeme identifizieren, für die Sicherheitsupdates erforderlich sind, und für eine kontrollierte Bereitstellung dieser Updates im gesamten Unternehmen bei minimalen Unterbrechungen für Endbenutzer sorgen. Hierbei handelt es sich zum Beispiel um das SMS 2003 Software Update Services Feature Pack und das SMS 2003 Administration Feature Pack. Benutzer von SMS 2.0 können auch die Website Software Updates Service Feature Pack besuchen, um Hilfe bei der Bereitstellung von Sicherheitsupdates zu erhalten. Weitere Informationen zu SMS finden Sie auf der SMS-Website.

Hinweis: SMS nutzt den Microsoft Baseline Security Analyzer, das Microsoft Office Detection Tool und das Enterprise Update Scan Tool, um eine breite Unterstützung bei der Erkennung und der Bereitstellung von Security Bulletin-Updates bereitzustellen. Einige Softwareupdates werden von diesen Tools möglicherweise nicht erkannt. Administratoren können in diesen Fällen die Inventurfunktionen von SMS nutzen, um Updates auf ausgewählten Systemen zu installieren. Weitere Informationen hierzu finden Sie auf dieser Website. Bei einigen Sicherheitsupdates, die einen Neustart des Systems erfordern, sind unter Umständen administrative Rechte nötig. Administratoren können das im SMS 2003 Administration Feature Pack und im SMS 2.0 Administration Feature Pack enthaltene Elevated Rights Deployment Tool verwenden, um diese Updates zu installieren.

Haftungsausschluss:

Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Revisionen:

•	V1.0 (10. Oktober 2006): Bulletin veröffentlicht.
•	V1.1 (11. Oktober 2006): "Vorichtsmaßnahmen" aktualisiert; im Abschnitt "Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate" Antwort auf die Frage "Gibt es Probleme, die auftreten können, wenn ich das Sicherheitsupdate installiere?" eingefügt.
•	V1.2 (25. Oktober 2006): "Nicht betroffene Software" für Microsoft Windows Server 2003 für Itanium-basierte Systeme aktualisiert. Im Abschnitt "Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate" folgende zwei Fragen eingefügt: "Warum ist Microsoft Windows Server 2003 für Itanium-basierte Systeme als "Nicht betroffene Software" aufgeführt?” und "Warum kann Microsoft .NET Framework 2.0 nicht unter Microsoft Windows Server 2003 für Itanium-basierte System installiert werden?".
•	V1.3 (29. November 2006): Vorichtsmaßnahmen" aktualisiert; im Abschnitt "Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate" Antwort auf die Frage "Gibt es Probleme, die auftreten können, wenn ich das Sicherheitsupdate installiere?" aktualisiert.

Zum Seitenanfang