Microsoft-Sicherheitsempfehlung 2905247

• 10/11/2017
• 26 Minuten Lesedauer
• Beitragende
  • 

Nicht sichere ASP.NET-Sitekonfiguration kann Erhöhung von Berechtigungen ermöglichen

Veröffentlicht: 10. Dezember 2013 | Aktualisiert: 9. September 2014

Version: 2.0

Allgemeine Informationen

Kurzzusammenfassung

Microsoft kündigt die Verfügbarkeit eines Updates für Microsoft ASP.NET an, um eine Sicherheitsanfälligkeit im ASP.NET-Ansichtszustand zu beheben, die vorliegt, wenn die MAC-Validierung (Machine Authentication Code) durch Konfigurationseinstellungen deaktiviert ist. Die Sicherheitsanfälligkeit kann Erhöhung von Berechtigungen ermöglichen und betrifft Microsoft .NET Framework 1.1 Service Pack 1, Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4 und Microsoft .NET Framework 4.5/4.5.1.

Alle ASP.NET-Sites, deren Ansichtszustands-MAC durch Konfigurationseinstellungen deaktiviert wurde, sind anfällig für Angriffe. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausnutzt, kann mit speziell gestalteten HTTP-Inhalten Code einschleusen, der im Kontext des Dienstkontos auf dem ASP.NET-Server ausgeführt wird. Microsoft ist sich dessen bewusst, dass allgemeine Informationen veröffentlicht wurden, mit denen diese Sicherheitsanfälligkeit ausgenutzt werden kann, doch aktive Angriffe sind nicht bekannt.

Schadensbegrenzende Faktoren:

• Ansichtszustands-MAC ist auf ASP.NET-Sites standardmäßig aktiviert.

Empfehlung. Microsoft empfiehlt Endbenutzern, die empfohlenen Maßnahmen zu übernehmen, um sicherzustellen, dass der ASP.NET-Ansichtszustands-MAC auf ASP.NET-Sites aktiviert bleibt. Weitere Informationen finden Sie in dem Abschnitt Empfohlene Maßnahmen in dieser Empfehlung.

Details der Empfehlung

Verweise auf die Sicherheitsanfälligkeit

Weitere Informationen zu diesem Problem finden Sie unter den folgenden Verweisen:

Betroffene Software

Diese Empfehlung betrifft die folgende Software.

Betroffene Software

Nicht betroffene Software

Nicht zutreffende Software

Häufig gestellte Fragen (FAQs) zu dieser Empfehlung

Warum wurde diese Empfehlung am 9. September 2014 erneut veröffentlicht?
Diese Empfehlung wurde erneut veröffentlicht, um die Bereitstellung des Sicherheitsupdates über Microsoft Update zusätzlich zu dem nur über das Download Center erhältlichen Update anzubieten, das bei der ursprünglichen Veröffentlichung dieser Empfehlung bereitgestellt wurde.

Darüber hinaus wurden die Updates für die folgende betroffene Software erneut veröffentlicht, um ein Problem zu beheben, das gelegentlich bewirkte, dass Page.IsPost Back einen falschen Wert zurückgab:

Endbenutzer, die bereits eines der oben genannten Updates installiert haben, sollten die Updates erneut installieren, um vor der in dieser Empfehlung behobenen Sicherheitsanfälligkeit geschützt zu sein. Bei dem Rest der betroffenen Software, die nicht in dieser Liste enthalten ist, müssen Endbenutzer, die ihre Systeme bereits erfolgreich aktualisiert haben, keine Maßnahmen ergreifen.

Was genau umfasst diese Empfehlung?
Mit dieser Empfehlung sollen Benutzer darüber benachrichtigt werden, dass Microsoft ein Update veröffentlicht, mit dem Administratoren ihre ASP.NET-Server so konfigurieren können, dass sichergestellt ist, dass der Ansichtszustands-MAC stets aktiviert bleibt. Des Weiteren soll allgemeine Anleitung dazu zur Verfügung gestellt werden, wie der Ansichtszustands-MAC auf IIS-Servern aktiviert wird.

Was ist Ansichtszustand?
Ansichtszustand ist eine ASP.NET-Funktion, mit der Webentwickler den Seitenzustand bewahren und Daten in einem Internetformular über POST-Anforderungen oder Seitenupdates und -änderungen hinweg persistieren können. Ansichtszustand wird häufig von ASP.NET-Entwicklern verwendet und kommt als solcher überall auf ASP.NET-Sites vor. Ansichtszustand wird immer analysiert, selbst wenn die Eigenschaft EnableViewState auf false gesetzt ist. Weitere Informationen finden Sie in Understanding ASP.NET View State (Englisch).

Wird die Sicherheitsanfälligkeit durch Deaktivieren des Ansichtszustands verringert?
Nein. Ansichtszustand wird immer vom ASP.NET-Server analysiert, auch wenn EnableViewState auf false gesetzt ist und ungeachtet dessen, ob die Eigenschaft in web.config, der @Page-Anweisung oder einen ASP.NET-Tag eingestellt ist. Ein Angreifer kann eine Ansichtszustands-Eigenschaft in einen Client-POST einschleusen und dabei die Einstellung EnableViewState umgehen.

Was ist Ansichtszustands-MAC-Validierung?
Ansichtszustands-MAC-Validierung (Machine Authentication Code) ist eine Funktion, die bewirkt, dass ASP.NET zum Zeitpunkt der Seitengenerierung einen Hash der Ansichtszustands-Daten generiert. Der Hash wird später zum Vergleich des Ansichtszustands bei einem späteren Postback verwendet, sodass der Server überprüfen kann, ob der Ansichtszustand manipuliert wurde. Durch diese Technologie wird sichergestellt, dass Postbackdaten nicht fälschlicherweise geändert wurden, und die in dieser Empfehlung beschriebene Sicherheitsanfälligkeit wird verringert.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen?
In den meisten Szenarien kann ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, die Berechtigungen auf die Ebene des Dienstkontos erhöhen, das auf der anfälligen ASP.NET-Site ausgeführt wird (eine mit einem nicht richtig konfigurierten Ansichtszustands-MAC).

Wie gehen Angreifer vor, um diese Sicherheitsanfälligkeit auszunutzen?
Ein nicht authentifizierter Angreifer kann speziell gestaltete HTTP-Inhalte an den Zielserver senden, der dem Angreifer potenziell ermöglicht, im Kontext des Dienstkontos, das auf der ASP.NET-Site ausgeführt wird, Code auf dem Server auszuführen.

Was bewirkt das Update?
Das Update behebt die Sicherheitsanfälligkeit, indem sichergestellt wird, dass der Ansichtszustands-MAC stets aktiviert ist, und indem die Möglichkeit genommen wird, ihn auf dem Server zu deaktivieren.

Welche zusätzlichen Maßnahmen müssen Endbenutzer nach der Installation des Updates ergreifen?
Die Natur der Problembehebung erfordert, dass einige Endbenutzer (besonders solche, die ASP.NET in einer Webfarm verwenden) zusätzliche Maßnahmen ergreifen, um die durchgehende Verfügbarkeit ihrer ASP.NET-Sites sicherzustellen. Im Abschnitt Empfohlene Maßnahmen unten finden Sie zusätzliche Konfigurationsschritte.

Wie kann ich feststellen, welche Version von Microsoft .NET Framework installiert ist?
Sie können auf einem System mehrere Versionen von .NET Framework installieren und ausführen, und Sie können die Versionen in beliebiger Reihenfolge installieren. Es gibt mehrere Möglichkeiten festzustellen, welche Versionen von .NET Framework derzeit installiert sind. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 318785.

Was ist der Unterschied zwischen .NET Framework 4 und .NET Framework 4 Client Profile?
Die .NET Framework Version 4 Redistributable Packages sind in zwei Profilen verfügbar: .NET Framework 4 und .NET Framework 4 Client Profile. .NET Framework 4 Client Profile ist Teil des .NET Framework 4-Profils, das für Clientanwendungen optimiert ist. Es stellt Funktionen für die meisten Clientanwendungen bereit, einschließlich Windows Presentation Foundation (WPF), Windows Forms, Windows Communication Foundation (WCF) und ClickOnce. Dies ermöglicht eine schnellere Bereitstellung und ein kleineres Installationspaket für Anwendungen, die auf .NET Framework 4 Client Profile abzielen. Weitere Informationen finden Sie im MSDN-Artikel .NET Framework Client Profile.

Ich habe .NET Framework 3.0 Service Pack 2 installiert; diese Version ist jedoch nicht unter der betroffenen Software in diesem Bulletin aufgeführt. Muss ich dieses Update installieren?
In diesem Bulletin wird eine Sicherheitsanfälligkeit beschrieben, die sich auf die Funktionsschicht von .NET Framework 2.0 auswirkt. Das Installationsprogramm für .NET Framework 3.0 Service Pack 2 beinhaltet das Setup für .NET Framework 2.0 Service Pack 2, sodass bei der Installation der Version 3.0 auch die vorherige Version installiert wird. Deshalb müssen Benutzer, die .NET Framework 3.0 Service Pack 2 installiert haben, die Sicherheitsupdates für .NET Framework 2.0 Service Pack 2 installieren.

Ich habe .NET Framework 3.5 Service Pack 1 installiert. Muss ich Updates installieren?
In diesem Bulletin wird eine Sicherheitsanfälligkeit beschrieben, die sich auf die Funktionsschicht von .NET Framework 2.0 auswirkt. Das Installationsprogramm für .NET Framework 3.5 Service Pack 1 beinhaltet sowohl das Setup für .NET Framework 2.0 Service Pack 2 als auch das Setup für .NET Framework 3.0 Service Pack 2. Deshalb müssen Benutzer, die .NET Framework 3.5 Service Pack 1 installiert haben, die Sicherheitsupdates für .NET Framework 2.0 Service Pack 2 installieren.

Empfohlene Maßnahmen

• Installieren des Updates für betroffene Versionen von Microsoft .NET Framework
  Die meisten Benutzer haben die automatische Aktualisierung aktiviert und müssen keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, können die automatische Aktualisierung mit den Schritten in Automatische Aktualisierung ein- oder ausschalten aktivieren.

  Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die dieses Sicherheitsupdate manuell installieren möchten, empfiehlt Microsoft, das Update so schnell wie möglich mit Updateverwaltungssoftware zu installieren bzw. mithilfe des Diensts Microsoft Update auf Updates zu prüfen. Die Updates sind auch über die Hyperlinks des Microsoft Download Centers in der Tabelle „Betroffene Software“ dieser Empfehlung zugänglich. Weitere Informationen zum manuellen Installieren des Updates finden Sie im Microsoft Knowledge Base-Artikel 2905247.

• Für Administratoren und Unternehmensinstallationen mit Webfarmszenarien
  Microsoft empfiehlt, die Anleitung im Microsoft Knowledge Base-Artikel 2915218 zu befolgen.

Zusätzlich empfohlene Handlungen

• Schützen Sie Ihren PC
  Wir raten unseren Kunden auch weiterhin, die Anleitungen unter „Schützen Sie Ihren PC“ zu befolgen, also eine Firewall zu aktivieren, regelmäßig die Software zu aktualisieren und Antivirussoftware zu installieren. Weitere Informationen finden Sie im Microsoft-Sicherheitscenter.
• Halten Sie Microsoft-Software auf dem neuesten Stand
  Benutzer, die Microsoft-Software ausführen, sollten die neuesten Sicherheitsupdates von Microsoft installieren, um den größtmöglichen Schutz des Computers zu erzielen. Wenn Sie nicht sicher sind, ob Ihre Software auf dem neuesten Stand ist, besuchen Sie die Website Microsoft-Update, lassen Sie Ihren Computer auf verfügbare Updates überprüfen, und installieren Sie alle angezeigten Updates mit hoher Priorität. Wenn Sie automatisches Aktualisieren aktiviert und darauf konfiguriert haben, Updates für Microsoft-Produkte bereitzustellen, werden Ihnen die Updates geliefert, sobald sie veröffentlicht werden. Sie sollten aber überprüfen, ob sie installiert sind.

Bereitstellung von Sicherheitsupdates

Windows Server 2003 (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Windows Vista (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Windows Server 2008 (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Windows 7 (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Windows Server 2008 R2 (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Windows 8 (alle Editionen) und Windows 8.1 (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Windows Server 2012 (alle Editionen) und Windows Server 2012 R2 (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Windows RT (alle Editionen) und Windows RT 8.1 (alle Editionen)

Referenztabelle

Die folgende Tabelle enthält die Informationen zu Sicherheitsupdates für diese Software.

Weitere Informationen:

Feedback

• Sie können uns Ihr Feedback über das Formular Kundendienst/Kontakt auf der Microsoft-Website „Hilfe und Support“ mitteilen.

Support

• Technischer Support ist über den Security Support erhältlich. Weitere Informationen finden Sie auf Microsoft-Hilfe und -Support.
• Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Weitere Informationen finden Sie auf Internationale Unterstützung.
• Auf der Microsoft-Website TechNet Sicherheit werden zusätzliche Informationen zur Sicherheit in Microsoft-Produkten zur Verfügung gestellt.

Haftungsausschluss

Die Informationen in dieser Empfehlung werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für Sie.

Revisionen

V1.0 (10. Dezember 2013): Die Empfehlung wurde veröffentlicht.

V2.0 (9. September 2014): Die Sicherheitsempfehlung wurde erneut veröffentlicht, um die Bereitstellung des Sicherheitsupdates über Microsoft Update zusätzlich zu dem nur über das Download Center erhältlichen Update anzukündigen, das bei der ursprünglichen Veröffentlichung dieser Empfehlung bereitgestellt wurde. Außerdem wurden einige Updates erneut veröffentlicht, um deren Qualität zu verbessern. Weitere Informationen finden Sie in den häufig gestellten Fragen (FAQs) zu diesem Update.

Seite generiert am 04.09.2014 um 11:06Z-07:00.