Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Microsoft Internet Explorer 6
Microsoft Internet Explorer 7
Microsoft Internet Explorer 8
Microsoft Internet Explorer 9
Microsoft Internet Explorer 10
Microsoft Internet Explorer 11
Betroffene Plattformen:
Microsoft Windows 7 Sp1 X64
Microsoft Windows 7 Sp1 X86
Microsoft Windows 8 X64
Microsoft Windows 8 X86
Microsoft Windows 8.1 X64
Microsoft Windows 8.1 X86
Microsoft Windows Server 2003 Sp2
Microsoft Windows Server 2003 Sp2 Itanium
Microsoft Windows Server 2003 Sp2 X64
Microsoft Windows RT
Microsoft Windows RT 8.1
Microsoft Windows Server 2008 Sp2 Itanium
Microsoft Windows Server 2008 Sp2 X64
Microsoft Windows Server 2008 Sp2 X86
Microsoft Windows Server 2008 R2 Sp1 Itanium
Microsoft Windows Server 2008 R2 Sp1 X64
Microsoft Windows Server 2012
Microsoft Windows Server 2012 R2
Microsoft Windows Vista Sp2
Microsoft Windows Vista Sp2 X64
Mehrere Schwachstellen ermöglichen einem entfernten, nicht authentifizierten
Angreifer Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen
oder, falls er einen Benutzer dazu bringen kann, eine hierfür präparierte
Webseite mit dem Internet Explorer aufzurufen, die Ausführung beliebigen
Programmcodes mit denselben Rechten, die der Benutzer hat, d.h. unter
Umständen mit Administratorrechten, falls der Benutzer als ein solcher
angemeldet ist. Diese Schwachstellen betreffen jeweils verschiedene
Versionen des Internet Explorers auf unterschiedlichen Varianten von Windows
(siehe Microsoft Sicherheitshinweise MS14-065 – Internet Explorer).
Patch:
Microsoft Sicherheitshinweise MS14-065 (Internet Explorer)
https://technet.microsoft.com/de-de/library/security/MS14-065
CVE-2014-6349 CVE-2014-6350: Schwachstellen im Microsoft Internet Explorer
ermöglichen Privilegieneskalation
Zwei Schwachstellen im Microsoft Internet Explorer ermöglichen einem
entfernten, nicht authentifizierten Angreifer erhöhte Rechte zu erlangen.
Der Internet Explorer validiert bei der Ausführung von Skripten
Berechtigungen unzureichend. Ein Angreifer kann dies ausnutzen, in dem er
einen Benutzer auf eine präparierte Website leitet und dann mit Hilfe eines
Exploits erhöhte Rechte auf dem Zielsystem erlangt.
CVE-2014-6347 CVE-2014-6348 CVE-2014-6351 CVE-2014-6353: Schwachstellen im
Microsoft Internet Explorer
Mehrere Speicherkorruptions-Schwachstelle (Memory Corruption) im Microsoft
Internet Explorer ermöglichen einem entfernten, nicht authentifizierten
Angreifer, beliebigen Programmcode mit den Rechten des Benutzers auszuführen
oder einen Denial-of-Service-Angriff durchzuführen. Der Internet Explorer
kann bei der Verarbeitung von HTML Inhalten eventuell unzulässige
Speicherbefehle ausführen. Ein Angreifer kann dies ausnutzen, in dem er
einen Benutzer auf eine präparierte Website leitet. Bei der Verarbeitung der
Website führt der Internet Explorer dann unzulässige Speicherbefehle aus,
die den Speicher beschädigen. Und durch den beschädigten Speicher kann der
Angreifer beliebigen Programmcode mit den Rechten des Benutzers ausführen.
CVE-2014-6341 CVE-2014-6342 CVE-2014-6343 CVE-2014-6344: Schwachstellen im
Microsoft Internet Explorer
Mehrere Speicherkorruptions-Schwachstellen (Memory Corruption) im Microsoft
Internet Explorer ermöglichen einem entfernten, nicht authentifizierten
Angreifer, beliebigen Programmcode mit den Rechten des Benutzers auszuführen
oder einen Denial-of-Service-Angriff durchzuführen. Der Internet Explorer
kann bei der Verarbeitung von HTML Inhalten eventuell unzulässige
Speicherbefehle ausführen. Ein Angreifer kann dies ausnutzen, in dem er
einen Benutzer auf eine präparierte Website leitet. Bei der Verarbeitung der
Website führt der Internet Explorer dann unzulässige Speicherbefehle aus,
die den Speicher beschädigen. Und durch den beschädigten Speicher kann der
Angreifer beliebigen Programmcode mit den Rechten des Benutzers ausführen.
CVE-2014-6340 CVE-2014-6345 CVE-2014-6346: Schwachstellen im Microsoft
Internet Explorer ermöglichen Ausspähen von Informationen
Mehrere Schwachstellen im Microsoft Internet Explorer ermöglichen einem
entfernten, nicht authentifizierten Angreifer Inhalte aus anderen Domänen
oder Zonen zu lesen. Die “Cross-Domain Policies” im Internet Explorer werden
nicht korrekt durchgesetzt. Ein Angreifer kann dies ausnutzen, in dem er
einen Benutzer auf eine präparierte Website leitet.
CVE-2014-6339: Schwachstelle im Microsoft Internet Explorer ermöglicht
Umgehen von Sicherheitsvorkehrungen
Eine Schwachstelle im Microsoft Internet Explorer ermöglicht einem
entfernten, nicht authentifizierten Angreifer die Sicherheitsfunktion der
zufälligen Anordnung des Layouts des Adressraums (ASLR) zu umgehen. Der
Angreifer muss dazu einen Benutzer auf eine präparierte Website leiten.
CVE-2014-6323: Schwachstelle im Microsoft Internet Explorer ermöglicht
Ausspähen von Informationen
Eine Schwachstelle im Microsoft Internet Explorer ermöglicht einem
entfernten, nicht authentifizierten Angreifer an Informationen aus der
“Windows”-Zwischenablage (Clipboard) eines Benutzers zu gelangen. Die
Sicherheitsvorkehrungen im Internet Explorer sind unzureichend, wodurch ein
unerlaubter Zugriff auf die Zwischenablage eines Benutzers ermöglicht wird.
Ein Angreifer kann dies ausnutzen, in dem er einen Benutzer auf eine
präparierte Website leitet.
CVE-2014-4143 CVE-2014-6337: Schwachstellen im Microsoft Internet Explorer
Zwei Speicherkorruptions-Schwachstellen (Memory Corruption) im Microsoft
Internet Explorer ermöglichen einem entfernten, nicht authentifizierten
Angreifer, beliebigen Programmcode mit den Rechten des Benutzers auszuführen
oder einen Denial-of-Service-Angriff durchzuführen. Der Internet Explorer
kann bei der Verarbeitung von HTML Inhalten eventuell unzulässige
Speicherbefehle ausführen. Ein Angreifer kann dies ausnutzen, in dem er
einen Benutzer auf eine präparierte Website leitet. Bei der Verarbeitung der
Website führt der Internet Explorer dann unzulässige Speicherbefehle aus,
die den Speicher beschädigen. Und durch den beschädigten Speicher kann der
Angreifer beliebigen Programmcode mit den Rechten des Benutzers ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1475/
Schwachstelle CVE-2014-4143 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4143
Microsoft Sicherheitshinweise MS14-065 (Internet Explorer):
https://technet.microsoft.com/de-de/library/security/MS14-065
Schwachstelle CVE-2014-6323 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6323
Schwachstelle CVE-2014-6337 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6337
Schwachstelle CVE-2014-6339 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6339
Schwachstelle CVE-2014-6340 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6340
Schwachstelle CVE-2014-6341 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6341
Schwachstelle CVE-2014-6342 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6342
Schwachstelle CVE-2014-6343 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6343
Schwachstelle CVE-2014-6344 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6344
Schwachstelle CVE-2014-6345 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6345
Schwachstelle CVE-2014-6346 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6346
Schwachstelle CVE-2014-6347 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6347
Schwachstelle CVE-2014-6348 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6348
Schwachstelle CVE-2014-6349 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6349
Schwachstelle CVE-2014-6350 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6350
Schwachstelle CVE-2014-6351 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6351
Schwachstelle CVE-2014-6353 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6353
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
