Microsoft-Sicherheitsempfehlung (960715)

Zweck dieser Sicherheitsempfehlung: Benachrichtigung über die Verfügbarkeit eines Updates für ActiveX-Kill Bits.

Status der Empfehlung: Der Knowledge Base-Artikel und das zugehörige Update wurden veröffentlicht.

Empfehlung: Lesen Sie den angegebenen Knowledge Base-Artikel und installieren Sie das entsprechende Update.

Diese Empfehlung betrifft die folgende Software.

Müssen Benutzer mit einer Server Core-Installation von Windows Server 2008 dieses Update installieren?
Benutzer mit einer Server Core-Installation von Windows Server 2008 müssen dieses Update nicht installieren. Weitere Informationen zur Server Core-Installationsoption finden Sie unter Server Core. Beachten Sie, dass die Server Core-Installationsoption für bestimmte Editionen von Windows Server 2008 nicht gilt; siehe dazu Vergleichen von Server Core-Installationsoptionen.

Weshalb ist dieser Empfehlung keine Bewertung des Schweregrads zugeordnet?
Dieses Update enthält Kill Bits für Steuerelemente von Drittanbietern, die nicht Microsoft gehören. Microsoft nimmt keine Einstufung des Schweregrads für anfällige Steuerelemente von Drittanbietern vor.

Ersetzt dieses Update das Kumulative Sicherheitsupdate von ActiveX-Kill Bits (950760)?
Nein. In Bezug auf die automatische Aktualisierung ersetzt dieses Update nicht das Kumulative Sicherheitsupdate von ActiveX-Kill Bits (950760), das im Microsoft Security Bulletin MS08-032 beschrieben ist. Bei der automatischen Aktualisierung wird Benutzern immer noch das Update MS08-032 angeboten, unabhängig davon, ob sie dieses Update (960715) installiert haben. Benutzer jedoch, die dieses Update (960715) installiert haben, müssen das Update MS08-032 nicht installieren, um durch alle Kill Bits geschützt zu sein, die mit MS08-032 gesetzt werden.

Weshalb veröffentlicht Microsoft dieses Update-Rollup von ActiveX-Kill Bits mit einer Sicherheitsempfehlung, wenn vorherige Updates von Kill Bits mit einem Security Bulletin veröffentlicht wurden?
Microsoft veröffentlicht dieses Update-Rollup zu ActiveX-Kill Bits mit einer Empfehlung, weil die neuen Kill Bits entweder keine Microsoft-Software betreffen oder bereits in einem Microsoft Security Bulletin gesetzt wurden.

Enthält dieses Update Kill Bits, die zuvor in einem Update-Rollup von ActiveX-Kill Bits veröffentlicht wurden?
Ja, dieses Update enthält auch Kill Bits, die zuvor in der Microsoft-Sicherheitsempfehlung 956391 gesetzt wurden.

Enthält dieses Update Kill Bits, die zuvor mit einem Sicherheitsupdate für Internet Explorer veröffentlicht wurden?
Nein, dieses Update enthält keine Kill Bits, die zuvor in einem Sicherheitsupdate für Internet Explorer veröffentlicht wurden. Wir empfehlen, das aktuelle kumulative Sicherheitsupdate für Internet Explorer zu installieren.

Was ist ein Kill Bit?
Eine Sicherheitsfunktion in Internet Explorer verhindert, dass ein ActiveX-Steuerelement jemals von dem Internet Explorer HTML-Wiedergabemodul geladen werden kann. Dies wird erreicht, indem eine Registrierungseinstellung vorgenommen wird. Dieser Vorgang wird als „Setzen des Kill Bits“ bezeichnet. Nachdem das Kill Bit gesetzt wurde, kann das Steuerelement nie mehr geladen werden – auch dann nicht, wenn es vollständig installiert ist. Durch das Setzen des Kill Bits wird sichergestellt, dass eine gefährdete Komponente inaktiv und harmlos bleibt, selbst wenn sie in ein System eingeführt bzw. wieder eingeführt wird.

Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 240797. So verhindern Sie die Ausführung eines ActiveX-Steuerelements in Internet Explorer.

Was ist ein Sicherheitsupdate von ActiveX-Kill Bits?  
Dieses Sicherheitsupdate enthält nur die Klassenkennungen (CLSID) bestimmter ActiveX-Steuerelemente, die die Basis dieses Sicherheitsupdates bilden.

Warum enthält dieses Update keine Binärdateien?
Dieses Update nimmt nur Änderungen an der Registrierung vor, um die Instanziierung des Steuerelements in Internet Explorer zu deaktivieren.

Sollte ich dieses Update installieren, wenn ich die betroffene Komponente nicht installiert habe bzw. die betroffene Plattform nicht verwende?
Ja. Durch das Installieren dieses Updates wird die Ausführung des anfälligen Steuerelements in Internet Explorer blockiert.

Muss ich dieses Update erneut installieren, wenn ich zu einem späteren Zeitpunkt ein ActiveX-Steuerelement installiere, das in diesem Sicherheitsupdate diskutiert wird?
Nein, dieses Update muss nicht erneut installiert werden. Das Kill Bit blockiert die Ausführung des Steuerelements in Internet Explorer, selbst wenn das Steuerelement zu einem späteren Zeitpunkt installiert wird.

Was bewirkt das Update?
Durch dieses Update wird das Kill Bit für eine Liste von Klassenkennungen (CLSIDs) gesetzt.

Die folgende Klassenkennung bezieht sich auf eine Anforderung von Akamai, das Kill Bit für eine anfällige Klassenkennung zu setzen. Weitere Details finden Sie in der von Akamai veröffentlichten Sicherheitsempfehlung:

Die folgende Klassenkennung bezieht sich auf eine Anforderung von Research In Motion (RIM), das Kill Bit für eine anfällige Klassenkennung zu setzen. Weitere Details finden Sie in der von RIM veröffentlichten Sicherheitsempfehlung:

Die folgenden Klassenkennungen beziehen sich auf das CAPICOM-Steuerelement, das im Microsoft Security Bulletin MS08-070, Sicherheitsanfälligkeiten in Visual Basic 6.0 Runtime Extended Files (ActiveX-Steuerelemente) können Remotecodeausführung ermöglichen (932349), behandelt wird:

Lesen Sie den Microsoft Knowledge Base-Artikel zu dieser Empfehlung

Microsoft ermutigt Benutzer, dieses Update zu installieren. Kunden, die mehr über dieses Update erfahren möchten, sollten den Microsoft Knowledge Base-Artikel 960715 lesen.

Problemumgehung bezieht sich auf eine Einstellung oder Konfigurationsänderung, die die zugrunde liegende Sicherheitsanfälligkeit nicht behebt, sondern die bekannten Angriffsmethoden blockiert, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

•

Unterbinden Sie die Ausführung von COM-Objekten in Internet Explorer Sie können Versuche, eine Instanz eines COM-Objekts in Internet Explorer zu erstellen, unterbinden, indem Sie das Kill Bit für das Steuerelement in der Registrierung setzen. Warnung: Eine fehlerhafte Verwendung des Registrierungs-Editors kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft übernimmt keine Garantie dafür, dass Sie Probleme lösen können, die auf das fehlerhafte Verwenden des Registrierungs-Editors zurückzuführen sind. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko. Genaue Informationen dazu, wie Sie verhindern können, dass ein Steuerelement in Internet Explorer ausgeführt wird, finden Sie im Microsoft Knowledge Base-Artikel 240797. Befolgen Sie die Schritte in diesem Artikel, um einen Wert für Kompatibilitätskennzeichen in der Registrierung zu erstellen. Dadurch wird verhindert, dass eine Instanz des COM-Objekts in Internet Explorer erstellt wird. Hinweis: Die Klassenkennungen und entsprechenden Dateien, in denen ActiveX-Objekte enthalten sind, sind weiter oben im Abschnitt „Häufig gestellte Fragen (FAQs)“ unter „Was bewirkt dieses Update?“ dokumentiert. Ersetzen Sie {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} unten durch die Klassenkennungen in diesem Abschnitt. Um das Kill Bit für eine CLSID mit dem Wert {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} zu setzen, fügen Sie den folgenden Text in einen Texteditor (wie z. B. Editor) ein. Speichern dann Sie die Datei mit der Dateinamenerweiterung .reg. Windows Registrierungs-Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{ XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX }] "Compatibility Flags"=dword:00000400 Diese Registrierungsdatei kann auf die einzelnen Systeme angewendet werden, indem Sie darauf doppelklicken. Sie kann zudem mithilfe von Gruppenrichtlinien domänenübergreifend installiert werden. Weitere Informationen zu Gruppenrichtlinien finden Sie auf den folgenden Websites: • Gruppenrichtliniensammlung • Was ist der Gruppenrichtlinienobjekt-Editor? • Wichtigste Gruppenrichtlinientools und -einstellungen Hinweis Sie müssen Internet Explorer neu starten, damit diese Änderungen wirksam werden. Auswirkung der Problemumgehung: Keine Auswirkung, sofern das Objekt nicht in Internet Explorer eingesetzt werden soll.

Top of section