Sie sind hier: Home » Aktuelle Meldungen » Meldung
Meldung Nr: RUS-CERT-1610

[MS/Windows] Microsoft stellt Patches für insgesamt zwölf Schwachstellen bereit
(2009-12-09 00:12:29.60425+00) Druckversion

Quelle: http://www.microsoft.com/technet/security/bulletin/ms09-dec.mspx

Im Rahmen seines Security Bulletin Summary for December 2009 stellt Microsoft Patches für insgesamt zwölf Schwachstellen bereit. Sie betreffen den Internet Authentication Service, Microsoft Office Project, den Internet Explorer, den Local Security Authority Subsystem Service, die Active Directory Federation Services sowie WordPad und die Office Text Converters. Da sie z.T. einem Angreifer die Ausführung beliebigen Programmcodes auf dem beherbergenden System erlauben, wird die rasche Installation der bereitgestellten Patches empfohlen.

Inhalt

Zusammenfassung

  • CVE-2009-2505:
    Betroffen: Microsoft Windows 2000, XP, Server 2003, Vista, Server 2008
    Nicht betroffen: Microsoft Windows 7, Server 2008 R2
    Einfallstor: PEAP Message
    Angriffsvoraussetzung:Netzwerk, MS-CHAP v2
    Angriffsvektorklasse: remote
    Auswirkung: system compromise
    Typ: Speicherverletzung
    Gefahrenpotential: sehr hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-2505
  • CVE-2009-3677:
    Betroffen: Microsoft Windows 2000, XP, Server 2003, Vista, Server 2008
    Nicht betroffen: Microsoft Windows 7, Server 2008 R2
    Einfallstor: MS-CHAP v2 Message
    Angriffsvoraussetzung:Netzwerk, MS-CHAP v2
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: authentication bypass
    Gefahrenpotential: hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-3677
  • CVE-2009-0102:
    Betroffen: Microsoft Project 2000, Project 2003
    Nicht betroffen: Microsoft Project Server 2003, Project 2007, Project Portfolio Server 2007, Project Server 2007
    Einfallstor: Microsoft Project-Datei
    Angriffsvoraussetzung:Benutzerinteraktion
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: Speicherverletzung
    Gefahrenpotential: hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-0102
  • CVE-2009-2493:
    Betroffen: Microsoft Internet Explorer 5.01, 6, 7, 8
    Nicht betroffen: keine
    Einfallstor: ActiveX Controls, die unter Verwendung der Microsoft Active Template Library (ATL) hergestellt wurden
    Angriffsvoraussetzung:Benutzerinteraktion
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: Entwurfsfehler
    Gefahrenpotential: hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-2493
  • CVE-2009-3671:
    Betroffen: Microsoft Internet Explorer 5.01, 6, 7, 8
    Nicht betroffen: keine
    Einfallstor: uninitialisiertes oder gelöschtes Objekt
    Angriffsvoraussetzung:Benutzerinteraktion
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: Speicherverletzung
    Gefahrenpotential: hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-3671
  • CVE-2009-3672:
    Betroffen: Microsoft Internet Explorer 5.01, 6, 7, 8
    Nicht betroffen: keine
    Einfallstor: HTML-Code
    Angriffsvoraussetzung:Benutzerinteraktion
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: Speicherverletzung
    Gefahrenpotential: hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-3672
  • CVE-2009-3673:
    Betroffen: Microsoft Internet Explorer 5.01, 6, 7, 8
    Nicht betroffen: keine
    Einfallstor: uninitialisiertes oder gelöschtes Objekt
    Angriffsvoraussetzung:Benutzerinteraktion
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: Speicherverletzung
    Gefahrenpotential: hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-3673
  • CVE-2009-3674:
    Betroffen: Microsoft Internet Explorer 5.01, 6, 7, 8
    Nicht betroffen: keine
    Einfallstor: uninitialisiertes oder gelöschtes Objekt
    Angriffsvoraussetzung:Benutzerinteraktion
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: Speicherverletzung
    Gefahrenpotential: hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-3674
  • CVE-2009-3675:
    Betroffen: LSASS
    Plattform: Microsoft Windows 2000, XP, Server 2003
    Nicht betroffen: Microsoft Windows Vista, Server 2008, 7, Server 2008 R2
    Einfallstor: ISAKMP-Nachricht
    Angriffsvoraussetzung:Berechtigungsnachweis (user credentials)
    Angriffsvektorklasse: remote
    Auswirkung: denial of service
    Typ: Implementierungsfehler
    Gefahrenpotential: mittel
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-3675
  • CVE-2009-2508:
    Betroffen: Active Directory Federation Services
    Plattform: Microsoft Windows Server 2003, Server 2008
    Nicht betroffen: Microsoft Windows 2000, XP, Server 2003 SP2 für Itanium-basierte Systeme, Vista, Server 2008, 7, Server 2008 R2
    Einfallstor: Authentifizierte Web-Sitzung
    Angriffsvoraussetzung:lokal zwischengespeicherte (cached) credentials eines gültigen Benutzers
    Angriffsvektorklasse: local
    Auswirkung: Identitätsdiebstahl
    Typ: Entwurfsfehler
    Gefahrenpotential: je nach Anwendung: mittel bis hoch
    Workaround: nein
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-2508
  • CVE-2009-2509:
    Betroffen: Active Directory Federation Services
    Plattform: Microsoft Windows Server 2003, Server 2008
    Nicht betroffen: Microsoft Windows 2000, XP, Server 2003 SP2 für Itanium-basierte Systeme, Vista, Server 2008, 7, Server 2008 R2
    Einfallstor: ADFS request headers
    Angriffsvoraussetzung:Berechtigungsnachweis (user credentials)
    Angriffsvektorklasse: local
    Auswirkung: system compromise
    Typ: Entwurfsfehler
    Gefahrenpotential: hoch
    Workaround: nein
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-2509
  • CVE-2009-2506:
    Betroffen: Microsoft Wordpad, Office Text Converters, Office XP, Office 2003
    Plattform: Microsoft Windows 2000, XP, Server 2003
    Nicht betroffen: Microsoft Windows Vista, Server 2008, 7, Server 2008 R2, Office Word 2007, Office Word Viewer 2003, Office Word Viewer, Microsoft Office Compatibility Pack für Word, Excel und PowerPoint 2007 Dateiformate, Microsoft Office 2004 für Mac, Microsoft Office 2008 für Mac, Open XML File Format Converter für Mac, Microsoft Works 9
    Einfallstor: Word 97 Dokument
    Angriffsvoraussetzung:Benutzerinteraktion
    Angriffsvektorklasse: remote
    Auswirkung: user compromise
    Typ: Speicherverletzung
    Gefahrenpotential: hoch
    Workaround: ja
    Gegenmaßnahmen: neue Version
    Vulnerability ID: CVE-2009-2506

Betroffene Systeme

  • CVE-2009-2505:
    • Microsoft Windows 2000 SP4
    • Microsoft Windows XP SP2
    • Microsoft Windows XP SP3
    • Microsoft Windows XP Professional x64 Edition SP2
    • Microsoft Windows Server 2003 SP2
    • Microsoft Windows Server 2003 x64 Edition SP2
    • Microsoft Windows Server 2003 für Itanium-basierte Systeme SP2
    • Microsoft Windows Vista
    • Microsoft Windows Vista SP1
    • Microsoft Windows Vista SP2
    • Microsoft Windows Vista x64 Edition
    • Microsoft Windows Vista x64 Edition SP1
    • Microsoft Windows Vista x64 Edition SP2
    • Microsoft Windows Server 2008 für 32-bit-Systeme
    • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
    • Microsoft Windows Server 2008 für x64-basierte Systeme
    • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
  • CVE-2009-3677:
    • Microsoft Windows 2000 SP4
    • Microsoft Windows XP SP2
    • Microsoft Windows XP SP3
    • Microsoft Windows XP Professional x64 Edition SP2
    • Microsoft Windows Server 2003 SP2
    • Microsoft Windows Server 2003 x64 Edition SP2
    • Microsoft Windows Server 2003 für Itanium-basierte Systeme SP2
    • Microsoft Windows Vista
    • Microsoft Windows Vista SP1
    • Microsoft Windows Vista SP2
    • Microsoft Windows Vista x64 Edition
    • Microsoft Windows Vista x64 Edition SP1
    • Microsoft Windows Vista x64 Edition SP2
    • Microsoft Windows Server 2008 für 32-bit-Systeme
    • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
    • Microsoft Windows Server 2008 für x64-basierte Systeme
    • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
  • CVE-2009-0102:
    • Microsoft Project 2000 Service Release 1
    • Microsoft Project 2002 SP1
    • Microsoft Office Project 2003 SP3
  • CVE-2009-2493:
    • Microsoft Internet Explorer 5.01 SP4
    • Microsoft Internet Explorer 6
    • Microsoft Internet Explorer 6 SP1
    • Microsoft Internet Explorer 7
    • Microsoft Internet Explorer 8
  • CVE-2009-3671:
    • Microsoft Internet Explorer 5.01 SP4
    • Microsoft Internet Explorer 6
    • Microsoft Internet Explorer 6 SP1
    • Microsoft Internet Explorer 7
    • Microsoft Internet Explorer 8
  • CVE-2009-3672:
    • Microsoft Internet Explorer 5.01 SP4
    • Microsoft Internet Explorer 6
    • Microsoft Internet Explorer 6 SP1
    • Microsoft Internet Explorer 7
    • Microsoft Internet Explorer 8
  • CVE-2009-3673:
    • Microsoft Internet Explorer 5.01 SP4
    • Microsoft Internet Explorer 6
    • Microsoft Internet Explorer 6 SP1
    • Microsoft Internet Explorer 7
    • Microsoft Internet Explorer 8
  • CVE-2009-3674:
    • Microsoft Internet Explorer 5.01 SP4
    • Microsoft Internet Explorer 6
    • Microsoft Internet Explorer 6 SP1
    • Microsoft Internet Explorer 7
    • Microsoft Internet Explorer 8
  • CVE-2009-3675:
    • Microsoft Local Security Authority Subsystem Service (LSASS)
  • CVE-2009-2508:
    • Microsoft Windows Server 2003 SP2
    • Microsoft Windows Server 2003 x64 Edition SP2
    • Microsoft Windows Server 2008 für 32-bit-Systeme
    • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
    • Microsoft Windows Server 2008 für x64-basierte Systeme
    • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
  • CVE-2009-2509:
    • Microsoft Windows Server 2003 SP2
    • Microsoft Windows Server 2003 x64 Edition SP2
    • Microsoft Windows Server 2008 für 32-bit-Systeme
    • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
    • Microsoft Windows Server 2008 für x64-basierte Systeme
    • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
  • CVE-2009-2506:
    • Microsoft WordPad
    • Microsoft Office Word 2002 SP3
    • Microsoft Office Word 2003 SP3
    • Microsoft Works 8.5
    • Microsoft Office Converter Pack

Plattform

  • CVE-2009-2493:
    • alle Microsoft Betriebssysteme
  • CVE-2009-3671:
    • alle Microsoft Betriebssysteme
  • CVE-2009-3672:
    • alle Microsoft Betriebssysteme
  • CVE-2009-3673:
    • alle Microsoft Betriebssysteme
  • CVE-2009-3674:
    • alle Microsoft Betriebssysteme
  • CVE-2009-3675:
    • Microsoft Windows 2000 SP4
    • Microsoft Windows XP SP2
    • Microsoft Windows XP SP3
    • Microsoft Windows XP Professional x64 Edition SP2
    • Microsoft Windows Server 2003 SP2
    • Microsoft Windows Server 2003 x64 Edition SP2
    • Microsoft Windows Server 2003 für Itanium-basierte Systeme SP2
  • CVE-2009-2506:
    • Microsoft Windows 2000 SP4
    • Microsoft Windows XP SP2
    • Microsoft Windows XP SP3
    • Microsoft Windows XP Professional x64 Edition SP2
    • Microsoft Windows Server 2003 SP2
    • Microsoft Windows Server 2003 x64 Edition SP2
    • Microsoft Windows Server 2003 für Itanium-basierte Systeme SP2

Nicht betroffene Systeme

  • CVE-2009-2505:
    • Windows 7 für 32-bit Systeme
    • Windows 7 für x64-basierte Systeme
    • Windows Server 2008 R2 für x64-basierte Systeme
    • Windows Server 2008 R2 für Itanium-basierte Systeme
  • CVE-2009-3677:
    • Windows 7 für 32-bit Systeme
    • Windows 7 für x64-basierte Systeme
    • Windows Server 2008 R2 für x64-basierte Systeme
    • Windows Server 2008 R2 für Itanium-basierte Systeme
  • CVE-2009-0102:
    • Microsoft Project Server 2003 SP3
    • Microsoft Office Project 2007 SP1
    • Microsoft Office Project 2007 SP2
    • Microsoft Project Portfolio Server 2007 SP1
    • Microsoft Project Portfolio Server 2007 SP2
    • Microsoft Project Server 2007 SP1
    • Microsoft Project Server 2007 SP2
  • CVE-2009-3675:
    • Microsoft Windows Vista
    • Microsoft Windows Vista SP1
    • Microsoft Windows Vista SP2
    • Microsoft Windows Vista x64 Edition
    • Microsoft Windows Vista x64 Edition SP1
    • Microsoft Windows Vista x64 Edition SP2
    • Microsoft Windows Server 2008 für 32-bit-Systeme
    • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
    • Microsoft Windows Server 2008 für x64-basierte Systeme
    • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
    • Windows 7 für 32-bit Systeme
    • Windows 7 für x64-basierte Systeme
    • Windows Server 2008 R2 für x64-basierte Systeme
    • Windows Server 2008 R2 für Itanium-basierte Systeme
  • CVE-2009-2508:
    • Microsoft Windows 2000 SP4
    • Microsoft Windows XP SP2
    • Microsoft Windows XP SP3
    • Microsoft Windows XP Professional x64 Edition SP2
    • Microsoft Windows Server 2003 für Itanium-basierte Systeme
    • Microsoft Windows Vista
    • Microsoft Windows Vista SP1
    • Microsoft Windows Vista SP2
    • Microsoft Windows Vista x64 Edition
    • Microsoft Windows Vista x64 Edition SP1
    • Microsoft Windows Vista x64 Edition SP2
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
    • Windows 7 für 32-bit Systeme
    • Windows 7 für x64-basierte Systeme
    • Windows Server 2008 R2 für x64-basierte Systeme
    • Windows Server 2008 R2 für Itanium-basierte Systeme
  • CVE-2009-2509:
    • Microsoft Windows 2000 SP4
    • Microsoft Windows XP SP2
    • Microsoft Windows XP SP3
    • Microsoft Windows XP Professional x64 Edition SP2
    • Microsoft Windows Server 2003 für Itanium-basierte Systeme
    • Microsoft Windows Vista
    • Microsoft Windows Vista SP1
    • Microsoft Windows Vista SP2
    • Microsoft Windows Vista x64 Edition
    • Microsoft Windows Vista x64 Edition SP1
    • Microsoft Windows Vista x64 Edition SP2
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
    • Windows 7 für 32-bit Systeme
    • Windows 7 für x64-basierte Systeme
    • Windows Server 2008 R2 für x64-basierte Systeme
    • Windows Server 2008 R2 für Itanium-basierte Systeme
  • CVE-2009-2506:
    • Microsoft Windows Vista
    • Microsoft Windows Vista SP1
    • Microsoft Windows Vista SP2
    • Microsoft Windows Vista x64 Edition
    • Microsoft Windows Vista x64 Edition SP1
    • Microsoft Windows Vista x64 Edition SP2
    • Microsoft Windows Server 2008 für 32-bit-Systeme
    • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
    • Microsoft Windows Server 2008 für x64-basierte Systeme
    • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme
    • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
    • Microsoft Office Word 2007 SP1
    • Microsoft Office Word 2007 SP2
    • Microsoft Office Word Viewer 2003 SP3
    • Microsoft Office Word Viewer
    • Microsoft Office Compatibility Pack für Word, Excel und PowerPoint 2007 Dateiformate SP1
    • Microsoft Office Compatibility Pack für Word, Excel und PowerPoint 2007 Dateiformate SP2
    • Microsoft Office 2004 für Mac
    • Microsoft Office 2008 für Mac
    • Open XML File Format Converter für Mac
    • Microsoft Works 9

Workaround

  • CVE-2009-2505:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-071 empfohlenen Maßnahmen
  • CVE-2009-3677:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-071 empfohlenen Maßnahmen
  • CVE-2009-0102:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-074 empfohlenen Maßnahmen
  • CVE-2009-2493:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
  • CVE-2009-3671:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
  • CVE-2009-3672:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
  • CVE-2009-3673:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
  • CVE-2009-3674:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
  • CVE-2009-3675:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-069 empfohlenen Maßnahmen
  • CVE-2009-2508:
    Es ist kein Workaround bekannt.
  • CVE-2009-2509:
    Es ist kein Workaround bekannt.
  • CVE-2009-2506:
    Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-073 empfohlenen Maßnahmen

Gegenmaßnahmen

  • CVE-2009-2505:
    Installation der mit dem Microsoft Security Bulletin MS09-071 bereitgestellten Patches
  • CVE-2009-3677:
    Installation der mit dem Microsoft Security Bulletin MS09-071 bereitgestellten Patches
  • CVE-2009-0102:
    Installation der mit dem Microsoft Security Bulletin MS09-074 bereitgestellten Patches
  • CVE-2009-2493:
    Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
  • CVE-2009-3671:
    Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
  • CVE-2009-3672:
    Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
  • CVE-2009-3673:
    Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
  • CVE-2009-3674:
    Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
  • CVE-2009-3675:
    Installation der mit dem Microsoft Security Bulletin MS09-069 bereitgestellten Patches
  • CVE-2009-2508:
    Installation der mit dem Microsoft Security Bulletin MS09-070 bereitgestellten Patches
  • CVE-2009-2509:
    Installation der mit dem Microsoft Security Bulletin MS09-070 bereitgestellten Patches
  • CVE-2009-2506:
    Installation der mit dem Microsoft Security Bulletin MS09-073 bereitgestellten Patches

Vulnerability ID

(og)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.