Security Bulletins > August 2009

Microsoft Security Bulletin MS09-036 – Hoch

Sicherheitsanfälligkeit in ASP.NET in Microsoft Windows kann Denial-of-Service ermöglichen (970957)

Veröffentlicht: 11. Aug 2009 | Aktualisiert: 13. Aug 2009

Version: 1.1

Allgemeine Informationen

Kurzzusammenfassung

Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit bezüglich Denial-of-Service in der Microsoft .NET Framework-Komponente in Microsoft Windows. Diese Sicherheitsanfälligkeit kann nur ausgenutzt werden, wenn Internet Information Services (IIS) 7.0 installiert und ASP.NET so konfiguriert ist, dass auf den betroffenen Versionen von Microsoft Windows der integrierte Modus verwendet wird. Ein Angreifer könnte speziell gestaltete anonyme HTTP-Anforderungen erstellen, die dazu führen können, dass der betroffene Webserver erst wieder reagieren kann, wenn der zugeordnete Anwendungspool neu gestartet wird. Benutzer, die IIS-7.0-Anwendungspools im klassischen Modus ausführen, sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Dieses Sicherheitsupdate ist für alle betroffenen Versionen von Microsoft Windows als Hoch eingestuft. Weitere Informationen finden Sie im Unterabschnitt Betroffene und nicht betroffene Software in diesem Abschnitt.

Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem die Art und Weise geändert wird, wie ASP.NET die Anforderungsplanung verwaltet. Weitere Informationen zu der Sicherheitsanfälligkeit finden Sie im Unterabschnitt „Häufig gestellte Fragen (FAQs)“ für den bestimmten Sicherheitsanfälligkeitseintrag unter dem nächsten Abschnitt Informationen zu Sicherheitsanfälligkeiten.

Empfehlung. Die Mehrheit der Benutzer hat die automatische Aktualisierung aktiviert und muss keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871.

Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, das Update so schnell wie möglich mit Updateverwaltungssoftware zu installieren bzw. mithilfe des Diensts Microsoft Update auf Updates zu prüfen.

Siehe auch den Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung weiter unten in diesem Bulletin.

Bekannte Probleme. Keine

Top of section

Betroffene und nicht betroffene Software

Folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen haben entweder das Ende des Lebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder Edition zu ermitteln.

Betroffene Software

Betriebssystem	Komponente	Maximale Sicherheitsauswirkung	Bewertung des Gesamtschweregrads	Bulletins, die durch dieses Update ersetzt werden
Windows Vista*	Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 (KB972591) sowie Microsoft .NET Framework 2.0 Service Pack 2 und Microsoft .NET Framework 3.5 Service Pack 1 (KB972592)	DoS (Denial of Service)	Hoch	Keine
Windows Vista Service Pack 1*	Microsoft .NET Framework 2.0 Service Pack 1 und .NET Framework 3.5 (KB972593) sowie Microsoft .NET Framework 2.0 Service Pack 2 und .NET Framework 3.5 Service Pack 1 (KB972594)	DoS (Denial of Service)	Hoch	Keine
Windows Vista x64 Edition*	Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 (KB972591) sowie Microsoft .NET Framework 2.0 Service Pack 2 und Microsoft .NET Framework 3.5 Service Pack 1 (KB972592)	DoS (Denial of Service)	Hoch	Keine
Windows Vista x64 Edition Service Pack 1*	Microsoft .NET Framework 2.0 Service Pack 1 und .NET Framework 3.5 (KB972593) sowie Microsoft .NET Framework 2.0 Service Pack 2 und .NET Framework 3.5 Service Pack 1 (KB972594)	DoS (Denial of Service)	Hoch	Keine
Windows Server 2008 für 32-Bit-Systeme**	Microsoft .NET Framework 2.0 Service Pack 1 und .NET Framework 3.5 (KB972593) sowie Microsoft .NET Framework 2.0 Service Pack 2 und .NET Framework 3.5 Service Pack 1 (KB972594)	DoS (Denial of Service)	Hoch	Keine
Windows Server 2008 für x64-basierte Systeme**	Microsoft .NET Framework 2.0 Service Pack 1 und .NET Framework 3.5 (KB972593) sowie Microsoft .NET Framework 2.0 Service Pack 2 und .NET Framework 3.5 Service Pack 1 (KB972594)	DoS (Denial of Service)	Hoch	Keine
Windows Server 2008 für Itanium-basierte Systeme	Microsoft .NET Framework 2.0 Service Pack 1 und .NET Framework 3.5 (KB972593) sowie Microsoft .NET Framework 2.0 Service Pack 2 und .NET Framework 3.5 Service Pack 1 (KB972594)	DoS (Denial of Service)	Hoch	Keine

* Weil IIS 7.0 nicht auf Windows Vista Starter und Windows Vista Home Basic ausgeführt werden kann, sind die folgenden Editionen nicht betroffen: Windows Vista Starter (32 Bit), Windows Vista Home Basic (32 Bit) und Windows Vista Home Basic (64 Bit).

**Die Server Core-Installation von Windows Server 2008 ist nicht betroffen. Die durch dieses Update behobene Sicherheitsanfälligkeit betrifft unterstützte Editionen von Windows Server 2008 nicht, wenn Windows Server 2008 mit der Server Core-Installationsoption installiert wurde. Weitere Informationen zu dieser Installationsoption finden Sie unter Server Core. Beachten Sie, dass die Server Core-Installationsoption für bestimmte Editionen von Windows Server 2008 nicht gilt; siehe dazu Vergleichen von Server Core-Installationsoptionen.

Nicht betroffene Software

Betriebssystem
Microsoft Windows 2000 Service Pack 4
Windows XP Service Pack 2
Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 mit SP2 für Itanium-basierte Systeme
Windows Vista Service Pack 2
Windows Vista x64 Edition Service Pack 2
Windows Server 2008 für 32-Bit-Systeme Service Pack 2
Windows Server 2008 für x64-basierte Systeme Service Pack 2
Windows Server 2008 für Itanium-basierte Systeme Service Pack 2
Windows 7 für 32-Bit-Systeme
Windows 7 für x64-basierte Systeme
Windows Server 2008 R2 für x64-basierte Systeme
Windows Server 2008 R2 für Itanium-basierte Systeme

Top of section

Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate

Wo befinden sich die Dateiinformationen?
Informationen zum Speicherort der Dateiinformationen finden Sie in den Referenztabellen im Abschnitt Bereitstellung von Sicherheitsupdates.

Ich verwende eine ältere Version der in diesem Security Bulletin beschriebenen Software. Was soll ich tun?
Die in diesem Bulletin aufgeführte betroffene Software wurde daraufhin getestet, welche einzelnen Versionen betroffen sind. Andere Versionen haben das Ende ihrer Supportlebenszyklen erreicht. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion zu ermitteln.

Benutzer älterer Versionen dieser Software sollten möglichst bald zu Versionen migrieren, für die Support angeboten wird, um sich vor künftigen Sicherheitsanfälligkeiten zu schützen. Weitere Informationen zu den Windows-Produktzyklen finden Sie auf der Website Microsoft Support Lifecycle. Weitere Informationen zur erweiterten Unterstützung durch Sicherheitsupdates für diese Softwareversionen oder Editionen finden Sie auf der Website Microsoft Support Services.

Benutzer, die zusätzlichen Support für ältere Software benötigen, müssen sich an ihren Microsoft-Kundenbetreuer, ihren Technical Account Manager oder den jeweiligen Microsoft-Partner wenden, um Supportangebote in Anspruch nehmen zu können. Kunden, die nicht über einen Alliance-, Premier- oder Authorized-Vertrag verfügen, können sich mit der regionalen Microsoft-Vertriebsniederlassung in Verbindung setzen. Kontaktinformationen finden Sie auf der Website Microsoft Worldwide. Wählen Sie Ihr Land aus, und klicken Sie auf Go. Es wird eine Telefonnummer für Ihr Land angezeigt. Wenn Sie unter der angegebenen Nummer anrufen, fragen Sie bitte nach dem regionalen Vertriebsmanager für Premier Support. Weitere Informationen finden Sie unter Häufig gestellte Fragen zum Supportlebenszyklus für Windows.

Warum sind Windows Vista Service Pack 2 und Windows Server 2008 Service Pack 2 nicht betroffen?
Die Fehlerbehebung für dieses Problem ist bereits in den Versionen von Microsoft .NET Framework enthalten, die mit Windows Vista Service Pack 2 und Windows Server 2008 Service Pack 2 geliefert werden.

Warum sind Microsoft .NET Framework 3.5 und Microsoft .NET Framework 3.5 Service Pack 1 betroffen?
Microsoft .NET Framework 3.5 enthält die Teilkomponenten Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.0 Service Pack 1. Microsoft .NET Framework 3.5 Service Pack 1 enthält die Teilkomponenten Microsoft .NET Framework 2.0 Service Pack 2 und Microsoft .NET Framework 3.0 Service Pack 2. Daher enthalten sowohl Microsoft .NET Framework 3.5 als auch Microsoft .NET Framework 3.5 Service Pack 1 anfällige Teilkomponenten.

Warum wird mir dieses Sicherheitsupdate nicht über automatische Updates angeboten?
Dieses Sicherheitsupdate wird nur Systemen angeboten, auf denen IIS 7.0 unter einem Betriebssystem installiert ist, das in der Tabelle „Betroffene Software“ aufgeführt ist. Systeme, die im Abschnitt „Betroffene Software“ dieses Bulletins aufgeführt sind, aber auf denen IIS 7.0 nicht installiert ist, wird dieses Update nicht über automatische Updates angeboten, da diese Sicherheitsanfälligkeit nur ausgenutzt werden kann, wenn IIS 7.0 installiert ist.

Top of section

Informationen zu Sicherheitsanfälligkeiten

Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeit

Bei der folgenden Bewertung des Schweregrads wird die potenzielle maximale Auswirkung der Sicherheitsanfälligkeit angenommen. Informationen zur Wahrscheinlichkeit der Ausnutzung der Sicherheitsanfälligkeit in Bezug auf die Bewertung des Schweregrads und die Sicherheitsauswirkung innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Ausnutzbarkeitsindex im Bulletin Summary für August. Weitere Informationen finden Sie in Microsoft-Ausnutzbarkeitsindex.

Bewertung des Schweregrads und maximale Sicherheitsauswirkung nach betroffener Software
Betroffene Software	Sicherheitsanfälligkeit bezüglich nicht authentifizierten Remote-Denial-of-Service in ASP.NET – CVE-2009-1536	Bewertung des Gesamtschweregrads
Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 unter Windows Vista und Windows Vista Service Pack 1	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 unter Windows Vista x64 Edition und Windows Vista x64 Edition Service Pack 1	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 unter Windows Server 2008	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 unter Windows Server 2008 x64 Edition	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 unter Windows Server 2008 für Itanium-basierte Systeme	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 2 und Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista und Windows Vista Service Pack 1	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 2 und Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista x64 Edition und Windows Vista x64 Edition Service Pack 1	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 2 und Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008*	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 2 und Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008 x64 Edition*	Hoch DoS (Denial of Service)	Hoch
Microsoft .NET Framework 2.0 Service Pack 2 und Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008 für Itanium-basierte Systeme	Hoch DoS (Denial of Service)	Hoch

*Die Server Core-Installation von Windows Server 2008 ist nicht betroffen. Die durch dieses Update behobene Sicherheitsanfälligkeit betrifft unterstützte Editionen von Windows Server 2008 nicht, wenn Windows Server 2008 mit der Server Core-Installationsoption installiert wurde. Weitere Informationen zu dieser Installationsoption finden Sie unter Server Core. Beachten Sie, dass die Server Core-Installationsoption für bestimmte Editionen von Windows Server 2008 nicht gilt; siehe dazu Vergleichen von Server Core-Installationsoptionen.

Top of section

Sicherheitsanfälligkeit bezüglich nicht authentifizierten Remote-Denial-of-Service in ASP.NET – CVE-2009-1536

Eine Sicherheitsanfälligkeit bezüglich Denial-of-Service besteht in der Art und Weise, wie ASP.NET die Anforderungsplanung verwaltet. Ein Angreifer könnte diese Sicherheitsanfälligkeit durch Erstellen speziell gestalteter anonymer HTTP-Anforderungen ausnutzen, die dazu führen können, dass der betroffene Webserver erst wieder reagieren kann, wenn der zugeordnete Anwendungspool neu gestartet wird.

Informationen zum Anzeigen dieser Sicherheitsanfälligkeit als Standardeintrag in der Liste allgemeiner Sicherheitsanfälligkeiten finden Sie unter CVE-2009-1536.

Schadensbegrenzende Faktoren für die Sicherheitsanfälligkeit bezüglich nicht authentifizierten Remote-Denial-of-Service in ASP.NET – CVE-2009-1536

Schadensbegrenzung bezieht sich auf eine Einstellung, häufige Konfiguration oder allgemeine empfohlene Vorgehensweise, die in einem Standardzustand existieren und den Schweregrad der Ausnutzung einer Sicherheitsanfälligkeit verringern können. Die folgenden schadensbegrenzenden Faktoren könnten hilfreich für Sie sein:

•	Der anfällige Code in Microsoft .NET Framework wird nur durch IIS 7.0 offen gelegt. Für Systeme, auf denen IIS 7.0 nicht ausgeführt wird, sind keine Angriffsmethoden für diese Sicherheitsanfälligkeit bekannt.
•	Systeme, bei denen ASP.NET auf IIS 7.0 im klassischen Modus ausgeführt wird, sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Top of section

Problemumgehungen für die Sicherheitsanfälligkeit bezüglich nicht authentifizierten Remote-Denial-of-Service in ASP.NET – CVE-2009-1536

Problemumgehungen beziehen sich auf Einstellungen oder Konfigurationsänderungen, die die zugrunde liegende Sicherheitsanfälligkeit nicht beheben, sondern die bekannten Angriffsmethoden blockieren, bevor Sie das Update installieren. Microsoft hat die folgenden Problemumgehungen getestet und gibt in der Beschreibung an, ob eine Problembehebung die Funktionalität einschränkt:

•

Wechseln zum systemeigenen IIS-Threadpool

Wenn ASP.NET 2.0 auf IIS 7.0 im integrierten Modus gehostet wird, verwaltet ASP.NET Anforderungen unter Verwendung des CRL-Threadpools (Common Language Runtime). Systeme, auf denen die Anforderungen von dem systemeigenen Threadpool in IIS 7.0 anstelle des CLR-Threadpools verwaltet werden, sind von diesem Problem nicht betroffen. Weitere Informationen finden Sie im MSDN-Artikel .NET: Der CLR-Threadpool.

Verwenden Sie eine der beiden folgenden Methoden, um IIS 7.0 so zu konfigurieren, dass der systemeigene Threadpool zur Prozessverarbeitung verwendet wird.

Methode 1: Angeben eines Werts für maxConcurrentRequestsPerCPU in der Registrierung

Diese Einstellung ist global und betrifft alle Anwendungspools. Um diese Einstellung für einzelne Anwendungspools zu konfigurieren, verwenden Sie Methode 2 in diesem Abschnitt.

Warnung: Eine fehlerhafte Verwendung des Registrierungs-Editors kann unter Umständen ernste Probleme verursachen, die eine erneute Installation des Betriebssystems erfordern können. Microsoft kann nicht gewährleisten, dass Probleme, die sich aus der fehlerhaften Verwendung des Registrierungs-Editors ergeben, behoben werden können. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko. Weitere Informationen zum Bearbeiten der Registrierung finden Sie im Hilfethema Ändern von Schlüsseln und Werten im Registrierungs-Editor (Regedit.exe) oder in den Hilfethemen über das Hinzufügen und das Löschen von Informationen in der Registrierung und im Hilfethema Bearbeiten der Registrierungsdaten in Regedt32.exe.

Hinweis: Sie sollten eine Sicherungskopie der Registrierung erstellen, bevor Sie diese bearbeiten.

1.	Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl Regedit ein, und klicken Sie anschließend auf OK.
2.	Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0
3.	Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf Schlüssel.
4.	Geben Sie maxConcurrentRequestsPerCPU ein, und drücken Sie dann die Eingabetaste.
5.	Klicken Sie auf den Schlüssel maxConcurrentRequestsPerCPU.
6.	Zeigen Sie im Menü Bearbeiten auf Neu und klicken Sie dann auf DWORD.
7.	Geben Sie maxConcurrentRequestsPerCPU ein, und drücken Sie dann die Eingabetaste.
8.	Klicken Sie im Menü Bearbeiten auf Ändern, um den Registrierungseintrag maxConcurrentRequestsPerCPU zu ändern.
9.	Geben Sie im Datenfeld Wert den Wert 0 ein, und klicken Sie dann auf OK.
10.	Beenden Sie den Registrierungs-Editor.
11.	Verwenden Sie iisreset.exe, um Microsoft Internet Information Services (IIS) auf dem Webserver neu zu starten, der die Anwendung hostet. Geben Sie dazu in der Befehlszeile den folgenden Befehl ein: iisreset /restart

Angeben des Wertes für maxConcurrentRequestsPerCPU über die REG-Datei

Windows Registrierungs-Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0]
"MaxConcurrentRequestsPerCPU"=dword:00000000

Diese Registrierungsdatei kann auf die einzelnen Systeme angewendet werden, indem Sie darauf doppelklicken. Sie kann zudem mithilfe von Gruppenrichtlinien domänenübergreifend installiert werden. Weitere Informationen zu Gruppenrichtlinien finden Sie auf den folgenden Websites:
Gruppenrichtliniensammlung
Was ist der Gruppenrichtlinienobjekt-Editor?
Wichtigste Gruppenrichtlinientools und -einstellungen

Auswirkung der Problemumgehung: Je nach den in diesem Anwendungspool ausgeführten Anwendungen kann die Anwendungsleistung beeinträchtigt sein.

So machen Sie die Problemumgehung rückgängig:

Problemumgehung manuell rückgängig machen

1.	Klicken Sie auf Start und dann auf Ausführen, geben Sie im Feld Öffnen den Befehl Regedit ein, und klicken Sie anschließend auf OK. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie darauf: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0\maxConcurrentRequestsPerCPU
2.	Klicken Sie mit der rechten Maustaste auf den Unterschlüssel maxConcurrentRequestsPerCPU, klicken Sie auf Löschen, und klicken Sie dann auf Ja.
3.	Beenden Sie den Registrierungs-Editor. Verwenden Sie Iisreset.exe, um Microsoft Internet Information Services (IIS) auf dem Webserver neu zu starten, der die Anwendung hostet. Geben Sie dazu in der Befehlszeile den folgenden Befehl ein: iisreset /restart

Problemumgehung über eine REG-Datei rückgängig machen

Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\2.0.50727.0]
"MaxConcurrentRequestsPerCPU"=dword:00000000

Methode 2: Angeben des Wertes für maxConcurrentRequestsPerCPU für einen Anwendungspool im ASP.NET-Konfigurationsabschnitt einer ASPNET.Config-Datei

Hinweis: Diese Problemumgehung gilt nur für Systeme, auf denen Microsoft .NET Framework 2.0 SP2 oder Microsoft .NET Framework 3.5 SP1 ausgeführt wird. Frühere Versionen von Microsoft .NET Framework lesen aspnet.config nicht, um diese Information zu erhalten. Dieser Wert hebt den Wert auf, der in der Registrierung für maxConcurrentRequestsPerCPU angegeben ist.

Hinweis: Um diese Problemumgehung rückgängig zu machen, müssen Sie die ursprüngliche Version der Datei aspnet.config wiederherstellen. Bevor Sie diese Datei bearbeiten, erstellen Sie eine Sicherungskopie.

Öffnen Sie die Datei aspnet.config für den Anwendungspool, und geben Sie dann neue Werte für den Parameter maxConcurrentRequestsPerCPU wie folgt ein:

<system.web>
<applicationPool maxConcurrentRequestsPerCPU="0"/>
</system.web>

Auswirkung der Problemumgehung: Je nach den in diesem Anwendungspool ausgeführten Anwendungen kann die Anwendungsleistung beeinträchtigt sein.

So machen Sie die Problemumgehung rückgängig: Stellen Sie die ursprüngliche Version der Datei aspnet.config wieder her.

Top of section

Häufig gestellte Fragen (FAQs) zu der Sicherheitsanfälligkeit bezüglich nicht authentifizierten Remote-Denial-of-Service in ASP.NET – CVE-2009-1536

Worin genau besteht diese Sicherheitsanfälligkeit?
Dies ist eine Sicherheitsanfälligkeit bezüglich Denial-of-Service, die es einem Angreifer ermöglichen könnte, einen Webserver so zu manipulieren, dass dieser nicht mehr reagiert.

Was ist die Ursache dieser Sicherheitsanfälligkeit?
Diese Sicherheitsanfälligkeit wird dadurch verursacht, dass ASP.NET die Anforderungsplanung falsch verwaltet.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, könnte bewirken, dass der Anwendungspool auf dem betroffenen Webserver erst wieder reagieren kann, wenn der Anwendungspool neu gestartet wird. Das hätte dann zur Folge, dass Webseiten, die ASP.NET im gleichen Anwendungspool verwenden, nicht mehr erreichbar wären und ein HTTP-Fehler zurückgeben würde.

Nicht zu ASP.NET gehörende Funktionen des Servers sind nicht betroffen, wenn ein Server anfällig für dieses Problem ist und angegriffen wird. Beispielsweise werden HTML-Seiten weiterhin normal geladen.

Dies ist eine Sicherheitsanfälligkeit bezüglich Denial-of-Service auf Anwendungsebene. Um das System nach einem erfolgreichen Angriff wiederherzustellen, muss entweder IIS zurückgesetzt oder der betroffene Anwendungspool recycelt werden. Das Serverbetriebssystem muss jedoch nicht neu gestartet werden.

Was ist ASP.NET?
ASP.NET ist eine Sammlung von Technologien in Microsoft .NET Framework, die Entwicklern ermöglicht, Webanwendungen und XML-Webdienste zu erstellen.

Im Unterschied zu herkömmlichen Webseiten, die auf einer Kombination aus statischer HTML und Skripterstellung beruhen, verwendet ASP.NET kompilierte, ereignisgesteuerte Seiten. Da ASP.NET eine webbasierte Anwendungsumgebung ist, die zur Bereitstellung der grundlegenden HTTP-Funktionalität einen zugrunde liegenden Webserver benötigt, wird ASP.NET auf der Basis von Internet Information Services (IIS) ausgeführt. Weitere Informationen finden Sie auf der offiziellen Website zu Microsoft ASP.NET.

Worin besteht der Unterschied zwischen dem integrierten Modus und dem klassischem Modus in IIS 7.0?
In IIS 7.0 kann jede Website, die auf dem Server gehostet wird, im integrierten oder im klassischen Modus ausgeführt werden. Der integrierte Modus ist der Standardmodus in IIS 7.0 und bietet eine detailliertere Kontrolle über den Anforderungsprozess. Der klassische Modus kehrt zum Verhalten von IIS 6.0 zurück, wenn der integrierte Modus noch nicht zur Verfügung stand. Weitere Informationen finden Sie in So nutzen Sie die integrierte Pipeline in IIS 7.0.

Was ist ein Anwendungspool?
In IIS 7.0 ist ein Anwendungspool eine Gruppe aus einer oder mehreren URLs, die von einem Arbeitsprozess oder einer Menge von Arbeitsprozessen bedient werden. Anwendungspools legen Grenzen für die in ihnen enthaltenen Anwendungen fest. Das bedeutet, dass Anwendungen, die außerhalb eines gegebenen Anwendungspools ausgeführt werden, keine Auswirkungen auf die Anwendungen haben, die innerhalb dieses Anwendungspools ausgeführt werden. Weitere Informationen finden Sie in IIS 7.0: Verwalten von Anwendungspools in IIS 7.0.

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?
Ein Angreifer könnte diese Sicherheitsanfälligkeit durch Erstellen einer speziell gestalteten Serie anonymer HTTP-Anforderungen an ein betroffenes System ausnutzen und dadurch bewirken, dass der Webserver, der auf diesem System ausgeführt wird, nicht mehr reagiert.

Für welche Systeme stellt diese Sicherheitsanfälligkeit hauptsächlich ein Risiko dar?
Server, auf denen ASP 2.0 auf IIS 7.0 im integrierten Modus gehostet wird, sind gefährdet.

Was bewirkt das Update?
Das Update ändert die Art und Weise, wie ASP.NET die Anforderungsplanung verwaltet.

War diese Sicherheitsanfälligkeit zum Zeitpunkt der Veröffentlichung dieses Security Bulletins bereits öffentlich bekannt?
Nein. Microsoft erhielt Informationen über diese Sicherheitsanfälligkeit durch verantwortungsvolle Offenlegung. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen vor, dass diese Sicherheitsanfälligkeit öffentlich bekannt war.

Lagen Microsoft zum Zeitpunkt der Veröffentlichung dieses Security Bulletins Informationen vor, dass diese Sicherheitsanfälligkeit bereits ausgenutzt wurde?
Ja. Microsoft ist sich begrenzter, gezielter Angriffe bewusst, bei denen versucht wird, die gemeldete Sicherheitsanfälligkeit auszunutzen.

Top of section

Informationen zum Update

Tools und Anleitungen zur Erkennung und Bereitstellung

Verwalten Sie die Software und die Sicherheitsupdates, die Sie den Servern, Desktops und mobilen Computern in Ihrer Organisation bereitstellen müssen. Weitere Informationen finden Sie im TechNet Update Management Center. Die Website TechNet Sicherheit bietet weitere Informationen zur Sicherheit von Microsoft-Produkten.

Sicherheitsupdates sind unter Microsoft Update und Windows-Update verfügbar. Sicherheitsupdates sind auch im Microsoft Download Center verfügbar und können am einfachsten durch eine Suche nach dem Begriff „Sicherheitsupdate“ ermittelt werden.

Außerdem können Sicherheitsupdates vom Windows Update-Katalog heruntergeladen werden. Der Microsoft Update-Katalog stellt einen durchsuchbaren Katalog der Inhalte bereit, die über Windows Update und Microsoft Update zur Verfügung gestellt werden, einschließlich Sicherheitsupdates, Treiber und Service Packs. Indem Sie mit der Nummer des Security Bulletins suchen (z. B. „MS07-036“), können Sie Ihrem Warenkorb alle anwendbaren Updates (einschließlich verschiedener Sprachen für ein Update) hinzufügen und in den Ordner Ihrer Wahl herunterladen. Weitere Informationen zum Microsoft Update-Katalog, finden Sie unter Häufig gestellte Fragen zum Microsoft Update-Katalog.

Hinweis: Am 1. August 2009 stellt Microsoft den Support für Office Update und das Inventurprogramm für Office-Update ein. Verwenden Sie Microsoft Update, um weiterhin die aktuellen Updates für Microsoft Office-Produkte zu erhalten. Weitere Informationen finden Sie in Informationen zum Microsoft Office Update: Häufig gestellte Fragen (FAQs).

Anleitungen zur Erkennung und Bereitstellung

Microsoft stellt Anleitungen zur Erkennung und Bereitstellung von Sicherheitsupdates bereit. Diese Anleitungen enthalten Empfehlungen und Informationen, anhand derer IT-Experten verstehen können, wie die verschiedenen Tools für die Erkennung und Bereitstellung der Sicherheitsupdates verwendet werden. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 961747.

Microsoft Baseline Security Analyzer

Der Microsoft Baseline Security Analyzer (MBSA) ermöglicht Administratoren die Überprüfung von lokalen und Remotesystemen im Hinblick auf fehlende Sicherheitsupdates sowie auf häufig falsch konfigurierte Sicherheitsparameter. Weitere Informationen zu MBSA finden Sie auf der Website Microsoft Baseline Security Analyzer.

In der folgenden Tabelle ist die Zusammenfassung zur MBSA-Erkennung für dieses Sicherheitsupdate enthalten.

Software	MBSA 2.1
Windows Vista und Windows Vista Service Pack 1	Ja
Windows Vista x64 Edition und Windows Vista x64 Edition Service Pack 1	Ja
Windows Server 2008 für 32-Bit-Systeme	Ja
Windows Server 2008 für x64-basierte Systeme	Ja
Windows Server 2008 für Itanium-basierte Systeme	Ja

Weitere Informationen zu MBSA 2.1 finden Sie unter Häufig gestellte Fragen zu MBSA 2.1.

Windows Server Update Services

Mithilfe der Windows Server Update Services (WSUS) können Administratoren die neuesten kritischen Aktualisierungen und Sicherheitsupdates für Office XP und höher, Exchange Server 2003 und SQL Server 2000 für Windows 2000 und neuere Betriebssysteme bereitstellen. Weitere Informationen zum Bereitstellen dieses Sicherheitsupdates mithilfe der Windows Server Update Services finden Sie auf der Windows Server Update Services-Website.

Systems Management Server

Die folgende Tabelle enthält eine Zusammenfassung zur SMS-Erkennung und -Bereitstellung für dieses Sicherheitsupdate.

Software	SMS 2.0	SMS 2003 mit SUIT	SMS 2003 mit ITMU	Configuration Manager 2007
Windows Vista und Windows Vista Service Pack 1	Nein	Nein	Ja*	Ja
Windows Vista x64 Edition und Windows Vista x64 Edition Service Pack 1	Nein	Nein	Ja*	Ja
Windows Server 2008 für 32-Bit-Systeme	Nein	Nein	Ja*	Ja
Windows Server 2008 für x64-basierte Systeme	Nein	Nein	Ja*	Ja
Windows Server 2008 für Itanium-basierte Systeme	Nein	Nein	Ja*	Ja

Für SMS 2.0 und SMS 2003 kann das Sicherheitsupdate-Inventurprogramm (SUIT) von SMS verwendet werden, um Sicherheitsupdates zu erkennen. Siehe auch Downloads für Systems Management Server 2.0.

Im Fall von SMS 2003 kann von SMS zum Auffinden von unter Microsoft Updates erhältlichen Sicherheitsupdates und Updates, die von Windows Server Update Services unterstützt werden, das SMS 2003-Inventurprogramm für Microsoft-Updates (ITMU) verwendet werden. Weitere Informationen zum SMS 2003-Inventurprogramm für Microsoft-Updates finden Sie auf der Website SMS 2003-Inventurprogramm für Microsoft Updates. Weitere Informationen zu den SMS-Scanning Tools finden Sie unter SMS 2003 Software Update Scanning Tools. Siehe auch Downloads für Systems Management Server 2003.

System Center Configuration Manager 2007 verwendet WSUS 3.0 für die Erkennung von Updates. Weitere Informationen zur Configuration Manager 2007-Softwareupdateverwaltung finden Sie auf der Website zu System Center Configuration Manager 2007.

* Hinweis für Windows Vista und Windows Server 2008 Microsoft Systems Management Server 2003 mit Service Pack 3 umfasst Support für Windows Vista und Windows Server 2008-Verwaltbarkeit.

Weitere Informationen zu SMS finden Sie auf der SMS-Website.

Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 910723, „Zusammenfassungsliste der monatlichen Anleitungen zur Erkennung und Bereitstellung“.

Updatekompatibilitätsbewertung und Microsoft Application Compatibility Toolkit

Updates bearbeiten oft dieselben Dateien und Registrierungseinstellungen, die zum Ausführen Ihrer Anwendungen benötigt werden. Dies kann eine Inkompatibilität auslösen und die Bereitstellung von Sicherheitsupdates verzögern. Mit den Komponenten zur Updatekompatibilitätsbewertung, die im Anwendungskompatibilitäts-Toolkit enthalten sind, können Sie die Vereinbarkeit von Windows-Updates mit installierten Anwendungen testen und überprüfen.

Das Microsoft Application Compatibility Toolkit (ACT) enthält alle notwendigen Tools und Dokumentationen, um die Anwendungskompatibilität zu prüfen und eventuelle Probleme zu beheben, bevor Microsoft Windows Vista, ein Windows-Update, ein Microsoft-Sicherheitsupdate oder eine neue Version von Windows Internet Explorer in Ihrer Umgebung bereitgestellt wird.

Top of section

Bereitstellung von Sicherheitsupdates

Betroffene Software

Um Informationen zum jeweiligen Sicherheitsupdate für Ihre betroffene Software zu erhalten, klicken Sie auf den entsprechenden Link:

Windows Vista (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software. Sie finden zusätzliche Informationen im Unterabschnitt Informationen zur Bereitstellung in diesem Abschnitt.

Aufnahme in zukünftige Service Packs:	Das Update für dieses Problem wird in einem zukünftigen Service Pack oder Update-Rollup enthalten sein.
Bereitstellung:
Installieren ohne Benutzereingriff	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Vista: Windows6.0-KB972591-x86 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista: Windows6.0-KB972592-x86 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Vista Service Pack 1: Windows6.0-KB972593-x86 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista Service Pack 1: Windows6.0-KB972594-x86 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Vista x64 Edition: Windows6.0-KB972591-x64 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista x64 Edition: Windows6.0-KB972592-x64 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Vista x64 Edition Service Pack 1: Windows6.0-KB972593-x64 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista x64 Edition Service Pack 1: Windows6.0-KB972594-x64 /quiet
Installieren ohne neu zu starten	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Vista: Windows6.0-KB972591-x86 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista: Windows6.0-KB972592-x86 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Vista Service Pack 1: Windows6.0-KB972593-x86 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista Service Pack 1: Windows6.0-KB972594-x86 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Vista x64 Edition: Windows6.0-KB972591-x64 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista x64 Edition: Windows6.0-KB972592-x64 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Vista x64 Edition Service Pack 1: Windows6.0-KB972593-x64 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Vista x64 Edition Service Pack 1: Windows6.0-KB972594-x64 /quiet /norestart
Weitere Informationen	Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung
Neustartanforderung:
Neustart erforderlich?	Für dieses Update ist kein Neustart des Computers erforderlich. Das Installationsprogramm beendet die erforderlichen Dienste, installiert das Update und startet die Dienste dann neu. Wenn jedoch die erforderlichen Dienste aus irgendwelchen Gründen nicht beendet werden können oder benötigte Dateien aktuell verwendet werden, ist für dieses Update ein Neustart des Computers erforderlich. In diesem Fall wird eine Meldung angezeigt, die über den erforderlichen Neustart informiert.
HotPatching	Nicht relevant.
Informationen zur Deinstallation:	WUSA.exe unterstützt nicht die Deinstallation von Updates. Um ein Update zu deinstallieren, das von WUSA installiert wurde, klicken Sie auf Systemsteuerung und dann auf Sicherheit. Klicken Sie unter Windows Update auf Installierte Updates anzeigen, und treffen Sie eine Auswahl in der Liste der Updates.
Dateiinformationen:	Siehe Microsoft Knowledge Base-Artikel 970957.
Überprüfung des Registrierungsschlüssels	Hinweis Es ist kein Registrierungsschlüssel vorhanden, um die Anwesenheit dieses Updates zu belegen.

Informationen zur Bereitstellung

Installieren des Updates

Wenn Sie dieses Sicherheitsupdate installieren, prüft der Installer, ob Dateien, die auf dem Computer aktualisiert werden, zuvor durch einen Microsoft-Hotfix aktualisiert wurden.

Weitere Informationen zu der in diesem Bulletin verwendeten Terminologie, wie z. B. Hotfix, finden Sie im Microsoft Knowledge Base-Artikel 824684.

Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.

Unterstützte Installationsoptionen für das Sicherheitsupdate
Option	Beschreibung
/?, /h, /help	Hilfe zu unterstützten Optionen wird angezeigt.
/quiet	Anzeige von Status- oder Fehlermeldungen wird unterdrückt.
/norestart	Bei einer gemeinsamen Verwendung mit /quiet wird das System nach der Installation auch dann nicht neu gestartet, wenn ein Neustart erforderlich ist, um die Installation abzuschließen.

Hinweis Weitere Informationen zum Installationsprogramm wusa.exe finden Sie im Microsoft Knowledge Base-Artikel 934307.

Überprüfen der Updateinstallation

•

Microsoft Baseline Security Analyzer

Um zu überprüfen, ob das Sicherheitsupdate auf einem betroffenen System installiert wurde, können Sie möglicherweise das Tool MBSA (Microsoft Baseline Security Analyzer) verwenden. Weitere Informationen finden Sie im Abschnitt Tools und Anleitungen zur Erkennung und Bereitstellung in diesem Bulletin.

•

Überprüfung der Dateiversion

Da mehrere Editionen von Microsoft Windows verfügbar sind, können die auf Ihrem Computer erforderlichen Schritte von den angegebenen Schritten abweichen. Lesen Sie in diesem Fall die Produktdokumentation, um die erforderlichen Schritte durchzuführen.

1.	Klicken Sie auf Start, und tragen Sie unter Suche starten den Namen einer Updatedatei ein.
2.	Wenn die Datei unter Programme angezeigt wird, klicken Sie mit der rechten Maustaste auf den Dateinamen, und klicken Sie dann auf Eigenschaften.
3.	Vergleichen Sie in der Registerkarte Allgemein die Dateigröße mit den im Knowledge Base-Artikel des Bulletins bereitgestellten Dateiinformationstabellen.
4.	Sie können auch auf die Registerkarte Detail klicken und die Informationen, z. B. zur Dateiversion und zum Änderungsdatum, mit den vorher im Knowledge Base-Artikel des Bulletins bereitgestellten Dateiinformationstabellen vergleichen.
5.	Außerdem können Sie auch auf die Registerkarte Vorherige Versionen klicken und die Dateiinformationen zur vorherigen Dateiversion mit den Dateiinformationen für die neue, bzw. aktualisierte, Dateiversion vergleichen.

Top of section

Windows Server 2008 (alle Editionen)

Referenztabelle

Aufnahme in zukünftige Service Packs:	Das Update für dieses Problem wird in einem zukünftigen Service Pack oder Update-Rollup enthalten sein.
Bereitstellung:
Installieren ohne Benutzereingriff	Für Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 unter Windows Server 2008 für 32-Bit-Systeme: Windows6.0-KB972593-x86 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008 für 32-Bit-Systeme: Windows6.0-KB972594-x86 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Server 2008 für x64-basierte Systeme: Windows6.0-KB972593-x64 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008 für x64-basierte Systeme: Windows6.0-KB972594-x64 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Server 2008 für Itanium-basierte Systeme: Windows6.0-KB972593-ia64 /quiet
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008 für Itanium-basierte Systeme: Windows6.0-KB972594-ia64 /quiet
Installieren ohne neu zu starten	Für Microsoft .NET Framework 2.0 Service Pack 1 und Microsoft .NET Framework 3.5 unter Windows Server 2008 für 32-Bit-Systeme: Windows6.0-KB972593-x86 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008 für 32-Bit-Systeme: Windows6.0-KB972594-x86 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Server 2008 für x64-basierte Systeme: Windows6.0-KB972593-x64 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008 für x64-basierte Systeme: Windows6.0-KB972594-x64 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 1 oder Microsoft .NET Framework 3.5 unter Windows Server 2008 für Itanium-basierte Systeme: Windows6.0-KB972593-ia64 /quiet /norestart
	Für Microsoft .NET Framework 2.0 Service Pack 2 oder Microsoft .NET Framework 3.5 Service Pack 1 unter Windows Server 2008 für Itanium-basierte Systeme: Windows6.0-KB972594-ia64 /quiet /norestart
Weitere Informationen	Siehe den Unterabschnitt Tools und Anleitungen zur Erkennung und Bereitstellung
Neustartanforderung:
Neustart erforderlich?	Für dieses Update ist kein Neustart des Computers erforderlich. Das Installationsprogramm beendet die erforderlichen Dienste, installiert das Update und startet die Dienste dann neu. Wenn jedoch die erforderlichen Dienste aus irgendwelchen Gründen nicht beendet werden können oder benötigte Dateien aktuell verwendet werden, ist für dieses Update ein Neustart des Computers erforderlich. In diesem Fall wird eine Meldung angezeigt, die über den erforderlichen Neustart informiert.
HotPatching	Nicht relevant.
Informationen zur Deinstallation:	WUSA.exe unterstützt nicht die Deinstallation von Updates. Um ein Update zu deinstallieren, das von WUSA installiert wurde, klicken Sie auf Systemsteuerung und dann auf Sicherheit. Klicken Sie unter Windows Update auf Installierte Updates anzeigen, und treffen Sie eine Auswahl in der Liste der Updates.
Dateiinformationen:	Siehe Microsoft Knowledge Base-Artikel 970957.
Überprüfung des Registrierungsschlüssels	Hinweis Es ist kein Registrierungsschlüssel vorhanden, um die Anwesenheit dieses Updates zu belegen.

Informationen zur Bereitstellung

Installieren des Updates

Wenn Sie dieses Sicherheitsupdate installieren, prüft der Installer, ob Dateien, die auf dem Computer aktualisiert werden, zuvor durch einen Microsoft-Hotfix aktualisiert wurden.

Weitere Informationen zu der in diesem Bulletin verwendeten Terminologie, wie z. B. Hotfix, finden Sie im Microsoft Knowledge Base-Artikel 824684.

Dieses Sicherheitsupdate unterstützt folgende Installationsoptionen.

Unterstützte Installationsoptionen für das Sicherheitsupdate
Option	Beschreibung
/?, /h, /help	Hilfe zu unterstützten Optionen wird angezeigt.
/quiet	Anzeige von Status- oder Fehlermeldungen wird unterdrückt.
/norestart	Bei einer gemeinsamen Verwendung mit /quiet wird das System nach der Installation auch dann nicht neu gestartet, wenn ein Neustart erforderlich ist, um die Installation abzuschließen.

Hinweis Weitere Informationen zum Installationsprogramm wusa.exe finden Sie im Microsoft Knowledge Base-Artikel 934307.

Überprüfen der Updateinstallation

•

Microsoft Baseline Security Analyzer

•

Überprüfung der Dateiversion

1.	Klicken Sie auf Start, und tragen Sie unter Suche starten den Namen einer Updatedatei ein.
2.	Wenn die Datei unter Programme angezeigt wird, klicken Sie mit der rechten Maustaste auf den Dateinamen, und klicken Sie dann auf Eigenschaften.
3.	Vergleichen Sie in der Registerkarte Allgemein die Dateigröße mit den im Knowledge Base-Artikel des Bulletins bereitgestellten Dateiinformationstabellen.
4.	Sie können auch auf die Registerkarte Detail klicken und die Informationen, z. B. zur Dateiversion und zum Änderungsdatum, mit den vorher im Knowledge Base-Artikel des Bulletins bereitgestellten Dateiinformationstabellen vergleichen.
5.	Außerdem können Sie auch auf die Registerkarte Vorherige Versionen klicken und die Dateiinformationen zur vorherigen Dateiversion mit den Dateiinformationen für die neue, bzw. aktualisierte, Dateiversion vergleichen.

Top of section

Weitere Informationen:

Danksagungen

Microsoft dankt den folgenden Personen, dass sie zum Schutz unserer Kunden mit uns zusammengearbeitet haben:

•	Alexander Pfandt von Digitaria für den Hinweis auf die Sicherheitsanfälligkeit bezüglich nicht authentifizierten Remote-Denial-of-Service in ASP.NET (CVE-2009-1536).

Top of section

Microsoft Active Protections Program (MAPP)

Um den Sicherheitsschutz für Benutzer zu verbessern, stellt Microsoft den wichtigsten Sicherheitssoftwareanbietern vor der monatlichen Veröffentlichung der Sicherheitsupdates Informationen zu Sicherheitsanfälligkeiten bereit. Anbieter von Sicherheitssoftware können diese Informationen zu Sicherheitsanfälligkeiten dann verwenden, um Benutzern aktualisierten Schutz über ihre Sicherheitssoftware oder ihre Geräte bereitzustellen, z. B. Antivirus, netzwerkbasierte Angriffserkennungssysteme oder hostbasierte Angriffsverhinderungssysteme. Wenn Sie erfahren möchten, ob von den Sicherheitssoftwareanbietern aktiver Schutz verfügbar ist, besuchen Sie die von den Programmpartnern bereitgestellte Active Protections-Websites, die unter MAPP-Partner (Microsoft Active Protections Program) aufgeführt sind.

Top of section

Support

•	Technischer Support ist über den Security Support erhältlich. Supportanrufe zu Sicherheitsupdates sind kostenlos. Weitere Informationen zu verfügbaren Supportoptionen finden Sie auf der Microsoft-Website „Hilfe und Support“.
•	Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Supportanfragen zu Sicherheitsupdates sind kostenlos. Weitere Informationen dazu, wie Sie Microsoft in Bezug auf Supportfragen kontaktieren können, finden Sie auf der International Support Website.

Top of section

Haftungsausschluss

Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Top of section

Revisionen

•

V1.0 (11. August 2009): Bulletin veröffentlicht.

•

V1.1 (13. August 2009): Im Abschnitt Häufig gestellte Fragen (FAQs) im Zusammenhang mit diesem Sicherheitsupdate wurde verdeutlicht, dass dieses Sicherheitsupdate nur angeboten wird, wenn IIS 7.0 installiert ist. Den Häufig gestellten Fragen (FAQs) zu der Sicherheitsanfälligkeit bezüglich nicht authentifizierten Remote-Denial-of-Service in ASP.NET – CVE-2009-1536 wurden Informationen über den Unterschied zwischen dem integriertem Modus und dem klassischem Modus in IIS 7.0 hinzugefügt. Dies ist lediglich eine Informationsänderung. Benutzer, die das Update bereits erfolgreich installiert haben, müssen es nicht erneut installieren.

Top of section

Zum Seitenbeginn