Microsoft Security Bulletin MS15-113 - Kritisch

Kumulatives Sicherheitsupdate für Microsoft Edge (3104519)

Veröffentlicht: 10. November 2015

Version: 1.0

Kurzzusammenfassung

Dieses Sicherheitsupdate behebt Sicherheitsanfälligkeiten in Microsoft Edge. Die schwerwiegendste dieser Sicherheitsanfälligkeiten kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Microsoft Edge anzeigt. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Dieses Sicherheitsupdate wird für Microsoft Edge unter Windows 10 als „Kritisch” eingestuft. Weitere Informationen finden Sie im Abschnitt Betroffene Software.

Das Update behebt die Sicherheitsanfälligkeiten, indem geändert wird, wie Microsoft Edge Objekte im Speicher verarbeitet, und sichergestellt wird, dass Microsoft Edge die ASLR-Sicherheitsfunktion ordnungsgemäß implementiert.

Weitere Informationen zu diesen Sicherheitsanfälligkeiten finden Sie im Abschnitt Informationen zu Sicherheitsanfälligkeiten.

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3104519.

Betroffene Software

Die folgenden Softwareversionen oder -Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, haben entweder das Ende ihres Supportlebenszyklus überschritten oder sind nicht betroffen. Besuchen Sie die Website Microsoft Support Lifecycle, um den Supportlebenszyklus für Ihre Softwareversion oder -Edition zu ermitteln.

Betroffene Software 

**Betriebssystem** **Komponente** **Maximale Sicherheitsauswirkung** **Bewertung des Gesamtschweregrads** **Ersetzte Updates**
**Microsoft Edge**
[Windows 10 für 32-Bit-Systeme](https://support.microsoft.com/de-de/kb/3105213)[1] (3105213) Microsoft Edge Remotecodeausführung Kritisch [3096448](https://support.microsoft.com/de-de/kb/3096448) in MS15-107
[Windows 10 für x64-basierte Systeme](https://support.microsoft.com/de-de/kb/3105213)[1] (3105213) Microsoft Edge Remotecodeausführung Kritisch [3096448](https://support.microsoft.com/de-de/kb/3096448) in MS15-107
[Windows 10 Version 1511 für 32-Bit-Systeme](https://support.microsoft.com/de-de/kb/3105211)[1] (3105211) Microsoft Edge Remotecodeausführung Kritisch Keine
[Windows 10 Version 1511 für x64-basierte Systeme](https://support.microsoft.com/de-de/kb/3105211)[1] (3105211) Microsoft Edge Remotecodeausführung Kritisch Keine
[1]Windows 10-Updates sind kumulativ. Neben nicht sicherheitsrelevanten Updates enthalten sie auch alle Sicherheitsupdates für alle Sicherheitsanfälligkeiten, die Windows 10 betreffen und als Bestandteil des monatlichen Sicherheitsupdates veröffentlicht werden. Das Update ist über den [Microsoft Update-Katalog](https://catalog.update.microsoft.com/v7/site/home.aspx) verfügbar.

Hinweis Windows Server Technical Preview 3 ist betroffen. Kunden, die dieses Betriebssystem ausführen, sind angehalten, das Update zu installieren, das über Windows Update verfügbar ist.

Bewertungen des Schweregrads und Kennungen der Sicherheitsanfälligkeiten

Bei der folgenden Bewertung des Schweregrads wird die potenzielle maximale Auswirkung der Sicherheitsanfälligkeit angenommen. Informationen zur Wahrscheinlichkeit der Ausnutzung der Sicherheitsanfälligkeit in Bezug auf die Bewertung des Schweregrads und die Sicherheitsauswirkung innerhalb von 30 Tagen nach Veröffentlichung dieses Security Bulletins finden Sie im Ausnutzbarkeitsindex im Bulletin Summary für November.

Wenn in der Tabelle „Bewertung des Schweregrads und Sicherheitsauswirkung‟ angegeben ist, geben die Werte „Kritisch”, „Hoch” und „Mittel” Bewertungen des Schweregrads an. Weitere Informationen finden Sie unter Bewertungssystem für Security Bulletins. In der Tabelle werden die folgenden Abkürzungen zur Angabe der maximalen Auswirkung verwendet:

Abkürzung Maximale Auswirkung
RCE Remotecodeausführung
EoP Erhöhung von Berechtigungen
ID Offenlegung von Informationen
SFB Umgehung von Sicherheitsfunktionen
 

**Bewertung des Schweregrads und Sicherheitsauswirkung**
**CVE-Nummer** **Titel der Sicherheitsanfälligkeit** **Microsoft Edge**
[CVE-2015-6064](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-6064) Sicherheitsanfälligkeit in Microsoft Browser bezüglich Speicherbeschädigung Windows-Clients: **Kritisch/RCE** Windows-Server: **Mittel/RCE**
[CVE-2015-6073](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-6073) Sicherheitsanfälligkeit in Microsoft Browser bezüglich Speicherbeschädigung Windows-Clients: **Kritisch/RCE** Windows-Server: **Mittel/RCE**
[CVE-2015-6078](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-6078) Sicherheitsanfälligkeit in Microsoft Browser bezüglich Speicherbeschädigung Windows-Clients: **Kritisch/RCE** Windows-Server: **Mittel/RCE**
[CVE-2015-6088](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-6088) ASLR-Umgehung durch Microsoft Browser Windows-Clients: **Hoch/SFB** Windows-Server: **Niedrig/SFB**

Informationen zu Sicherheitsanfälligkeiten

Mehrere Sicherheitsanfälligkeiten in Microsoft Edge bezüglich Speicherbeschädigung

Es liegen mehrere Sicherheitsanfälligkeiten bezüglich Remotecodeausführung vor, wenn Microsoft Edge nicht richtig auf Objekte im Speicher zugreift. Die Sicherheitsanfälligkeiten können den Speicher so beschädigen, dass ein Angreifer im Kontext des aktuellen Benutzers beliebigen Code ausführen kann.

Ein Angreifer kann eine speziell gestaltete Website hosten, die darauf ausgelegt ist, die Sicherheitsanfälligkeiten über Microsoft Edge auszunutzen, und dann einen Benutzer zum Besuch der Website verleiten. Der Angreifer kann auch manipulierte Websites und Websites ausnutzen, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, welche wiederum speziell gestaltete Inhalte enthalten, über die die Sicherheitsanfälligkeiten ausgenutzt werden können. Ein Angreifer kann Benutzer jedoch nicht zwingen, die vom Angreifer kontrollierten Inhalte anzuzeigen. Stattdessen muss ein Angreifer Benutzer zu Handlungen verleiten. Zu diesem Zweck werden Benutzer normalerweise dazu gebracht, auf einen Link in einer Instant Messenger- oder E-Mail-Nachricht zu klicken, wodurch die Benutzer zur Website des Angreifers gelangen, oder eine Dateianlage zu öffnen, die per E-Mail gesendet wurde.

Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte erlangen wie der aktuelle Benutzer. Wenn der aktuelle Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausnutzt, Kontrolle über ein betroffenes System erlangen. Ein Angreifer kann dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit sämtlichen Benutzerrechten erstellen. Systeme, auf denen Microsoft Edge oft verwendet wird, also Arbeitsstationen oder Terminalserver, sind am stärksten von den Sicherheitsanfälligkeiten betroffen.

Das Update behebt die Sicherheitsanfälligkeiten, indem geändert wird, wie Microsoft Edge Objekte im Speicher verarbeitet.

Die folgende Tabelle enthält Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsanfälligkeiten:

Titel der Sicherheitsanfälligkeit CVE-Nummer Öffentlich gemeldet Ausgenutzt
Sicherheitsanfälligkeit in Microsoft Browser bezüglich Speicherbeschädigung CVE-2015-6064 Nein Nein
Sicherheitsanfälligkeit in Microsoft Browser bezüglich Speicherbeschädigung CVE-2015-6073 Nein Nein
Sicherheitsanfälligkeit in Microsoft Browser bezüglich Speicherbeschädigung CVE-2015-6078 Nein Nein
ASLR-Umgehung durch Microsoft Browser – CVE-2015-6088 ----------------------------------------------------- Es liegt eine Umgehung der Sicherheitsfunktionen vor, wenn Microsoft Edge die Sicherheitsfunktion der [zufälligen Anordnung des Layouts des Adressraums (ASLR)](https://technet.microsoft.com/de-de/library/security/dn848375.aspx) nicht verwendet. Dadurch kann ein Angreifer zuverlässiger die Speicheroffsets von bestimmten Anweisungen in einer gegebenen Aufrufliste voraussagen. Ein Angreifer, der dies erfolgreich ausnutzt, kann die Sicherheitsfunktion „Zufällige Anordnung des Layouts des Adressraums (ASLR)“ umgehen, die Benutzer vor einer breiten Palette von Sicherheitsanfälligkeiten schützt. Die Umgehung von Sicherheitsfunktionen allein ermöglicht nicht die Ausführung von beliebigem Code. Allerdings kann ein Angreifer diese ASLR-Umgehung in Verbindung mit einer anderen Sicherheitsanfälligkeit verwenden, etwa eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung, um beliebigen Code auf einem Zielsystem zuverlässiger ausführen zu können. In einem webbasierten Szenario erfordert die erfolgreiche Ausnutzung der Umgehung von ASLR, dass ein Benutzer angemeldet ist und eine betroffene Version von Internet Explorer ausführt. Der Benutzer müsste dann eine schädliche Website besuchen. Deshalb sind Systeme, auf denen häufig ein Webbrowser genutzt wird (z. B. Arbeitsstationen oder Terminalserver), am stärksten durch diese ASLR-Umgehung gefährdet. Bei Servern ist das Risiko größer, wenn Administratoren Benutzern ermöglichen, E-Mails auf Servern zu lesen und zu durchsuchen. Es wird jedoch dringend davon abgeraten, diese Erlaubnis zu erteilen. Das Sicherheitsupdate behebt die ASLR-Umgehung, indem sichergestellt wird, dass die betroffenen Versionen von Microsoft Edge die Sicherheitsfunktion ASLR richtig implementieren. Microsoft hat durch eine koordinierte Offenlegung der Umgehung Informationen zu dieser Umgehung erhalten. Microsoft lagen zum Zeitpunkt der Erstveröffentlichung dieses Security Bulletins keine Informationen über Angriffe vor, mit denen versucht wird, diese Sicherheitsanfälligkeit auszunutzen. ### Schadensbegrenzende Faktoren Für diese Sicherheitsanfälligkeit gibt es noch keine [schadensbegrenzenden Faktoren](https://technet.microsoft.com/de-de/library/security/dn848375.aspx). ### Problemumgehungen Für diese Sicherheitsanfälligkeit gibt es noch keine [Problemumgehungen](https://technet.microsoft.com/de-de/library/security/dn848375.aspx). Bereitstellung von Sicherheitsupdates ------------------------------------- Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den [hier](#kbarticle) in der Kurzzusammenfassung verwiesen wird. Danksagung ---------- Microsoft würdigt die Bemühungen derjenigen Benutzer der Sicherheitscommunity, die uns dabei helfen, Kunden durch eine koordinierte Offenlegung von Sicherheitsanfälligkeiten zu schützen. Weitere Informationen finden Sie unter [Danksagung](https://technet.microsoft.com/de-de/library/security/dn903755.aspx). Haftungsausschluss ------------------ Die Informationen in der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für Sie. Revisionen ---------- - V1.0 (10. November 2015): Bulletin veröffentlicht. *Seite generiert am 04.11.2015 um 12:45-08:00.*