Im Rahmen seines Security Bulletin Summary for December 2009 stellt Microsoft Patches für insgesamt zwölf Schwachstellen bereit. Sie betreffen den Internet Authentication Service, Microsoft Office Project, den Internet Explorer, den Local Security Authority Subsystem Service, die Active Directory Federation Services sowie WordPad und die Office Text Converters. Da sie z.T. einem Angreifer die Ausführung beliebigen Programmcodes auf dem beherbergenden System erlauben, wird die rasche Installation der bereitgestellten Patches empfohlen.

Inhalt

• Zusammenfassung
• Betroffene Systeme
• Nicht betroffene Systeme
• Plattform
• Workaround
• Gegenmaßnahmen
• Vulnerability ID

Zusammenfassung

• CVE-2009-2505:
  

  Betroffen:	Microsoft Windows 2000, XP, Server 2003, Vista, Server 2008
  Nicht betroffen:	Microsoft Windows 7, Server 2008 R2
  Einfallstor:	PEAP Message
  Angriffsvoraussetzung:	Netzwerk, MS-CHAP v2
  Angriffsvektorklasse:	remote
  Auswirkung:	system compromise
  Typ:	Speicherverletzung
  Gefahrenpotential:	sehr hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-2505

• CVE-2009-3677:
  

  Betroffen:	Microsoft Windows 2000, XP, Server 2003, Vista, Server 2008
  Nicht betroffen:	Microsoft Windows 7, Server 2008 R2
  Einfallstor:	MS-CHAP v2 Message
  Angriffsvoraussetzung:	Netzwerk, MS-CHAP v2
  Angriffsvektorklasse:	remote
  Auswirkung:	user compromise
  Typ:	authentication bypass
  Gefahrenpotential:	hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-3677

• CVE-2009-0102:
  

  Betroffen:	Microsoft Project 2000, Project 2003
  Nicht betroffen:	Microsoft Project Server 2003, Project 2007, Project Portfolio Server 2007, Project Server 2007
  Einfallstor:	Microsoft Project-Datei
  Angriffsvoraussetzung:	Benutzerinteraktion
  Angriffsvektorklasse:	remote
  Auswirkung:	user compromise
  Typ:	Speicherverletzung
  Gefahrenpotential:	hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-0102

• CVE-2009-2493:
  

  Betroffen:	Microsoft Internet Explorer 5.01, 6, 7, 8
  Nicht betroffen:	keine
  Einfallstor:	ActiveX Controls, die unter Verwendung der Microsoft Active Template Library (ATL) hergestellt wurden
  Angriffsvoraussetzung:	Benutzerinteraktion
  Angriffsvektorklasse:	remote
  Auswirkung:	user compromise
  Typ:	Entwurfsfehler
  Gefahrenpotential:	hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-2493

• CVE-2009-3671:
  

  Betroffen:	Microsoft Internet Explorer 5.01, 6, 7, 8
  Nicht betroffen:	keine
  Einfallstor:	uninitialisiertes oder gelöschtes Objekt
  Angriffsvoraussetzung:	Benutzerinteraktion
  Angriffsvektorklasse:	remote
  Auswirkung:	user compromise
  Typ:	Speicherverletzung
  Gefahrenpotential:	hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-3671

• CVE-2009-3672:
  

  Betroffen:	Microsoft Internet Explorer 5.01, 6, 7, 8
  Nicht betroffen:	keine
  Einfallstor:	HTML-Code
  Angriffsvoraussetzung:	Benutzerinteraktion
  Angriffsvektorklasse:	remote
  Auswirkung:	user compromise
  Typ:	Speicherverletzung
  Gefahrenpotential:	hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-3672

• CVE-2009-3673:
  

  Betroffen:	Microsoft Internet Explorer 5.01, 6, 7, 8
  Nicht betroffen:	keine
  Einfallstor:	uninitialisiertes oder gelöschtes Objekt
  Angriffsvoraussetzung:	Benutzerinteraktion
  Angriffsvektorklasse:	remote
  Auswirkung:	user compromise
  Typ:	Speicherverletzung
  Gefahrenpotential:	hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-3673

• CVE-2009-3674:
  

  Betroffen:	Microsoft Internet Explorer 5.01, 6, 7, 8
  Nicht betroffen:	keine
  Einfallstor:	uninitialisiertes oder gelöschtes Objekt
  Angriffsvoraussetzung:	Benutzerinteraktion
  Angriffsvektorklasse:	remote
  Auswirkung:	user compromise
  Typ:	Speicherverletzung
  Gefahrenpotential:	hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-3674

• CVE-2009-3675:
  

  Betroffen:	LSASS
  Plattform:	Microsoft Windows 2000, XP, Server 2003
  Nicht betroffen:	Microsoft Windows Vista, Server 2008, 7, Server 2008 R2
  Einfallstor:	ISAKMP-Nachricht
  Angriffsvoraussetzung:	Berechtigungsnachweis (user credentials)
  Angriffsvektorklasse:	remote
  Auswirkung:	denial of service
  Typ:	Implementierungsfehler
  Gefahrenpotential:	mittel
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-3675

• CVE-2009-2508:
  

  Betroffen:	Active Directory Federation Services
  Plattform:	Microsoft Windows Server 2003, Server 2008
  Nicht betroffen:	Microsoft Windows 2000, XP, Server 2003 SP2 für Itanium-basierte Systeme, Vista, Server 2008, 7, Server 2008 R2
  Einfallstor:	Authentifizierte Web-Sitzung
  Angriffsvoraussetzung:	lokal zwischengespeicherte (cached) credentials eines gültigen Benutzers
  Angriffsvektorklasse:	local
  Auswirkung:	Identitätsdiebstahl
  Typ:	Entwurfsfehler
  Gefahrenpotential:	je nach Anwendung: mittel bis hoch
  Workaround:	nein
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-2508

• CVE-2009-2509:
  

  Betroffen:	Active Directory Federation Services
  Plattform:	Microsoft Windows Server 2003, Server 2008
  Nicht betroffen:	Microsoft Windows 2000, XP, Server 2003 SP2 für Itanium-basierte Systeme, Vista, Server 2008, 7, Server 2008 R2
  Einfallstor:	ADFS request headers
  Angriffsvoraussetzung:	Berechtigungsnachweis (user credentials)
  Angriffsvektorklasse:	local
  Auswirkung:	system compromise
  Typ:	Entwurfsfehler
  Gefahrenpotential:	hoch
  Workaround:	nein
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-2509

• CVE-2009-2506:
  

  Betroffen:	Microsoft Wordpad, Office Text Converters, Office XP, Office 2003
  Plattform:	Microsoft Windows 2000, XP, Server 2003
  Nicht betroffen:	Microsoft Windows Vista, Server 2008, 7, Server 2008 R2, Office Word 2007, Office Word Viewer 2003, Office Word Viewer, Microsoft Office Compatibility Pack für Word, Excel und PowerPoint 2007 Dateiformate, Microsoft Office 2004 für Mac, Microsoft Office 2008 für Mac, Open XML File Format Converter für Mac, Microsoft Works 9
  Einfallstor:	Word 97 Dokument
  Angriffsvoraussetzung:	Benutzerinteraktion
  Angriffsvektorklasse:	remote
  Auswirkung:	user compromise
  Typ:	Speicherverletzung
  Gefahrenpotential:	hoch
  Workaround:	ja
  Gegenmaßnahmen:	neue Version
  Vulnerability ID:	CVE-2009-2506

Betroffene Systeme

• CVE-2009-2505:
  
  • Microsoft Windows 2000 SP4
  • Microsoft Windows XP SP2
  • Microsoft Windows XP SP3
  • Microsoft Windows XP Professional x64 Edition SP2
  • Microsoft Windows Server 2003 SP2
  • Microsoft Windows Server 2003 x64 Edition SP2
  • Microsoft Windows Server 2003 für Itanium-basierte Systeme SP2
  • Microsoft Windows Vista
  • Microsoft Windows Vista SP1
  • Microsoft Windows Vista SP2
  • Microsoft Windows Vista x64 Edition
  • Microsoft Windows Vista x64 Edition SP1
  • Microsoft Windows Vista x64 Edition SP2
  • Microsoft Windows Server 2008 für 32-bit-Systeme
  • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
  • Microsoft Windows Server 2008 für x64-basierte Systeme
  • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
• CVE-2009-3677:
  
  • Microsoft Windows 2000 SP4
  • Microsoft Windows XP SP2
  • Microsoft Windows XP SP3
  • Microsoft Windows XP Professional x64 Edition SP2
  • Microsoft Windows Server 2003 SP2
  • Microsoft Windows Server 2003 x64 Edition SP2
  • Microsoft Windows Server 2003 für Itanium-basierte Systeme SP2
  • Microsoft Windows Vista
  • Microsoft Windows Vista SP1
  • Microsoft Windows Vista SP2
  • Microsoft Windows Vista x64 Edition
  • Microsoft Windows Vista x64 Edition SP1
  • Microsoft Windows Vista x64 Edition SP2
  • Microsoft Windows Server 2008 für 32-bit-Systeme
  • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
  • Microsoft Windows Server 2008 für x64-basierte Systeme
  • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
• CVE-2009-0102:
  
  • Microsoft Project 2000 Service Release 1
  • Microsoft Project 2002 SP1
  • Microsoft Office Project 2003 SP3
• CVE-2009-2493:
  
  • Microsoft Internet Explorer 5.01 SP4
  • Microsoft Internet Explorer 6
  • Microsoft Internet Explorer 6 SP1
  • Microsoft Internet Explorer 7
  • Microsoft Internet Explorer 8
• CVE-2009-3671:
  
  • Microsoft Internet Explorer 5.01 SP4
  • Microsoft Internet Explorer 6
  • Microsoft Internet Explorer 6 SP1
  • Microsoft Internet Explorer 7
  • Microsoft Internet Explorer 8
• CVE-2009-3672:
  
  • Microsoft Internet Explorer 5.01 SP4
  • Microsoft Internet Explorer 6
  • Microsoft Internet Explorer 6 SP1
  • Microsoft Internet Explorer 7
  • Microsoft Internet Explorer 8
• CVE-2009-3673:
  
  • Microsoft Internet Explorer 5.01 SP4
  • Microsoft Internet Explorer 6
  • Microsoft Internet Explorer 6 SP1
  • Microsoft Internet Explorer 7
  • Microsoft Internet Explorer 8
• CVE-2009-3674:
  
  • Microsoft Internet Explorer 5.01 SP4
  • Microsoft Internet Explorer 6
  • Microsoft Internet Explorer 6 SP1
  • Microsoft Internet Explorer 7
  • Microsoft Internet Explorer 8
• CVE-2009-3675:
  
  • Microsoft Local Security Authority Subsystem Service (LSASS)
• CVE-2009-2508:
  
  • Microsoft Windows Server 2003 SP2
  • Microsoft Windows Server 2003 x64 Edition SP2
  • Microsoft Windows Server 2008 für 32-bit-Systeme
  • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
  • Microsoft Windows Server 2008 für x64-basierte Systeme
  • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
• CVE-2009-2509:
  
  • Microsoft Windows Server 2003 SP2
  • Microsoft Windows Server 2003 x64 Edition SP2
  • Microsoft Windows Server 2008 für 32-bit-Systeme
  • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
  • Microsoft Windows Server 2008 für x64-basierte Systeme
  • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
• CVE-2009-2506:
  
  • Microsoft WordPad
  • Microsoft Office Word 2002 SP3
  • Microsoft Office Word 2003 SP3
  • Microsoft Works 8.5
  • Microsoft Office Converter Pack

Plattform

• CVE-2009-2493:
  
  • alle Microsoft Betriebssysteme
• CVE-2009-3671:
  
  • alle Microsoft Betriebssysteme
• CVE-2009-3672:
  
  • alle Microsoft Betriebssysteme
• CVE-2009-3673:
  
  • alle Microsoft Betriebssysteme
• CVE-2009-3674:
  
  • alle Microsoft Betriebssysteme
• CVE-2009-3675:
  
  • Microsoft Windows 2000 SP4
  • Microsoft Windows XP SP2
  • Microsoft Windows XP SP3
  • Microsoft Windows XP Professional x64 Edition SP2
  • Microsoft Windows Server 2003 SP2
  • Microsoft Windows Server 2003 x64 Edition SP2
  • Microsoft Windows Server 2003 für Itanium-basierte Systeme SP2
• CVE-2009-2506:
  
  • Microsoft Windows 2000 SP4
  • Microsoft Windows XP SP2
  • Microsoft Windows XP SP3
  • Microsoft Windows XP Professional x64 Edition SP2
  • Microsoft Windows Server 2003 SP2
  • Microsoft Windows Server 2003 x64 Edition SP2
  • Microsoft Windows Server 2003 für Itanium-basierte Systeme SP2

Nicht betroffene Systeme

• CVE-2009-2505:
  
  • Windows 7 für 32-bit Systeme
  • Windows 7 für x64-basierte Systeme
  • Windows Server 2008 R2 für x64-basierte Systeme
  • Windows Server 2008 R2 für Itanium-basierte Systeme
• CVE-2009-3677:
  
  • Windows 7 für 32-bit Systeme
  • Windows 7 für x64-basierte Systeme
  • Windows Server 2008 R2 für x64-basierte Systeme
  • Windows Server 2008 R2 für Itanium-basierte Systeme
• CVE-2009-0102:
  
  • Microsoft Project Server 2003 SP3
  • Microsoft Office Project 2007 SP1
  • Microsoft Office Project 2007 SP2
  • Microsoft Project Portfolio Server 2007 SP1
  • Microsoft Project Portfolio Server 2007 SP2
  • Microsoft Project Server 2007 SP1
  • Microsoft Project Server 2007 SP2
• CVE-2009-3675:
  
  • Microsoft Windows Vista
  • Microsoft Windows Vista SP1
  • Microsoft Windows Vista SP2
  • Microsoft Windows Vista x64 Edition
  • Microsoft Windows Vista x64 Edition SP1
  • Microsoft Windows Vista x64 Edition SP2
  • Microsoft Windows Server 2008 für 32-bit-Systeme
  • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
  • Microsoft Windows Server 2008 für x64-basierte Systeme
  • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
  • Windows 7 für 32-bit Systeme
  • Windows 7 für x64-basierte Systeme
  • Windows Server 2008 R2 für x64-basierte Systeme
  • Windows Server 2008 R2 für Itanium-basierte Systeme
• CVE-2009-2508:
  
  • Microsoft Windows 2000 SP4
  • Microsoft Windows XP SP2
  • Microsoft Windows XP SP3
  • Microsoft Windows XP Professional x64 Edition SP2
  • Microsoft Windows Server 2003 für Itanium-basierte Systeme
  • Microsoft Windows Vista
  • Microsoft Windows Vista SP1
  • Microsoft Windows Vista SP2
  • Microsoft Windows Vista x64 Edition
  • Microsoft Windows Vista x64 Edition SP1
  • Microsoft Windows Vista x64 Edition SP2
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
  • Windows 7 für 32-bit Systeme
  • Windows 7 für x64-basierte Systeme
  • Windows Server 2008 R2 für x64-basierte Systeme
  • Windows Server 2008 R2 für Itanium-basierte Systeme
• CVE-2009-2509:
  
  • Microsoft Windows 2000 SP4
  • Microsoft Windows XP SP2
  • Microsoft Windows XP SP3
  • Microsoft Windows XP Professional x64 Edition SP2
  • Microsoft Windows Server 2003 für Itanium-basierte Systeme
  • Microsoft Windows Vista
  • Microsoft Windows Vista SP1
  • Microsoft Windows Vista SP2
  • Microsoft Windows Vista x64 Edition
  • Microsoft Windows Vista x64 Edition SP1
  • Microsoft Windows Vista x64 Edition SP2
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
  • Windows 7 für 32-bit Systeme
  • Windows 7 für x64-basierte Systeme
  • Windows Server 2008 R2 für x64-basierte Systeme
  • Windows Server 2008 R2 für Itanium-basierte Systeme
• CVE-2009-2506:
  
  • Microsoft Windows Vista
  • Microsoft Windows Vista SP1
  • Microsoft Windows Vista SP2
  • Microsoft Windows Vista x64 Edition
  • Microsoft Windows Vista x64 Edition SP1
  • Microsoft Windows Vista x64 Edition SP2
  • Microsoft Windows Server 2008 für 32-bit-Systeme
  • Microsoft Windows Server 2008 für 32-bit-Systeme SP2
  • Microsoft Windows Server 2008 für x64-basierte Systeme
  • Microsoft Windows Server 2008 für x64-basierte Systeme SP2
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme
  • Microsoft Windows Server 2008 für Itanium-basierte Systeme SP2
  • Microsoft Office Word 2007 SP1
  • Microsoft Office Word 2007 SP2
  • Microsoft Office Word Viewer 2003 SP3
  • Microsoft Office Word Viewer
  • Microsoft Office Compatibility Pack für Word, Excel und PowerPoint 2007 Dateiformate SP1
  • Microsoft Office Compatibility Pack für Word, Excel und PowerPoint 2007 Dateiformate SP2
  • Microsoft Office 2004 für Mac
  • Microsoft Office 2008 für Mac
  • Open XML File Format Converter für Mac
  • Microsoft Works 9

Workaround

• CVE-2009-2505:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-071 empfohlenen Maßnahmen
• CVE-2009-3677:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-071 empfohlenen Maßnahmen
• CVE-2009-0102:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-074 empfohlenen Maßnahmen
• CVE-2009-2493:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
• CVE-2009-3671:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
• CVE-2009-3672:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
• CVE-2009-3673:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
• CVE-2009-3674:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-072 empfohlenen Maßnahmen
• CVE-2009-3675:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-069 empfohlenen Maßnahmen
• CVE-2009-2508:
  Es ist kein Workaround bekannt.
• CVE-2009-2509:
  Es ist kein Workaround bekannt.
• CVE-2009-2506:
  Anwendung der in der Sektion "Workarounds" des Microsoft Security Bulletin MS09-073 empfohlenen Maßnahmen

Gegenmaßnahmen

• CVE-2009-2505:
  Installation der mit dem Microsoft Security Bulletin MS09-071 bereitgestellten Patches
• CVE-2009-3677:
  Installation der mit dem Microsoft Security Bulletin MS09-071 bereitgestellten Patches
• CVE-2009-0102:
  Installation der mit dem Microsoft Security Bulletin MS09-074 bereitgestellten Patches
• CVE-2009-2493:
  Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
• CVE-2009-3671:
  Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
• CVE-2009-3672:
  Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
• CVE-2009-3673:
  Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
• CVE-2009-3674:
  Installation der mit dem Microsoft Security Bulletin MS09-072 bereitgestellten Patches
• CVE-2009-3675:
  Installation der mit dem Microsoft Security Bulletin MS09-069 bereitgestellten Patches
• CVE-2009-2508:
  Installation der mit dem Microsoft Security Bulletin MS09-070 bereitgestellten Patches
• CVE-2009-2509:
  Installation der mit dem Microsoft Security Bulletin MS09-070 bereitgestellten Patches
• CVE-2009-2506:
  Installation der mit dem Microsoft Security Bulletin MS09-073 bereitgestellten Patches

Vulnerability ID

• CVE-2009-2505
• CVE-2009-3677
• CVE-2009-0102
• CVE-2009-2493
• CVE-2009-3671
• CVE-2009-3672
• CVE-2009-3673
• CVE-2009-3674
• CVE-2009-3675
• CVE-2009-2508
• CVE-2009-2509
• CVE-2009-2506

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/