DFN-CERT-2015-1062 Microsoft Internet Explorer: Mehrere Schwachstellen ermöglichen u.a. das Ausführen beliebigen Programmcodes [Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Microsoft Internet Explorer 6
Microsoft Internet Explorer 7
Microsoft Internet Explorer 8
Microsoft Internet Explorer 9
Microsoft Internet Explorer 10
Microsoft Internet Explorer 11
VBScript 5.6
VBScript 5.7
VBScript 5.8

Betroffene Plattformen:

Microsoft Windows 7 Sp1 X64
Microsoft Windows 7 Sp1 X86
Microsoft Windows 8 X64
Microsoft Windows 8 X86
Microsoft Windows 8.1 X64
Microsoft Windows 8.1 X86
Microsoft Windows RT
Microsoft Windows RT 8.1
Microsoft Windows Server 2003 Sp2
Microsoft Windows Server 2003 Sp2 Itanium
Microsoft Windows Server 2003 Sp2 X64
Microsoft Windows Server 2008 Sp2 Itanium
Microsoft Windows Server 2008 Sp2 X64
Microsoft Windows Server 2008 Sp2 X86
Microsoft Windows Server 2008 R2 Sp1 Itanium
Microsoft Windows Server 2008 R2 Sp1 X64
Microsoft Windows Server 2012
Microsoft Windows Server 2012 R2
Microsoft Windows Vista Sp2
Microsoft Windows Vista Sp2 X64

Mehrere Schwachstellen im Microsoft Internet Explorer ermöglichen einem
entfernten, nicht authentifizierten Angreifer Informationen auszuspähen,
erhöhte Rechte zu erlangen, Sicherheitsmechanismen zu umgehen,
Denial-of-Service-Zustände auszulösen oder, falls er einen Benutzer dazu
bringen kann, eine hierfür präparierte Webseite mit dem Internet Explorer
aufzurufen, die Ausführung beliebigen Programmcodes mit den Rechten des
Benutzers, d. h. unter Umständen mit Administratorrechten, falls der
Benutzer als ein solcher angemeldet ist. Diese Schwachstellen betreffen
jeweils verschiedene Versionen des Internet Explorers auf unterschiedlichen
Varianten von Windows (siehe Microsoft Sicherheitshinweise MS15-065 –
Internet Explorer).

Patch:

Microsoft Sicherheitshinweis MS15-065 (Internet Explorer)

https://technet.microsoft.com/de-de/library/security/MS15-065

CVE-2015-2421: Schwachstelle im Internet Explorer ermöglicht das Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle im Internet Explorer besteht in der fehlerhaften
Verwendung der Address Space Layout Randomization (ASLR)
Sicherheitsvorkehrung. Dies erlaubt es einem entfernten, nicht
authentisierten Angreifer, mit Hilfe einer speziell präparierten Website,
die Address Space Layout Randomization (ASLR) Sicherheitsvorkehrung zu
umgehen.

CVE-2015-2419: Schwachstelle im Internet Explorer ermöglicht das Ausführen
beliebigen Programmcodes

Eine Schwachstelle in JScript 9 besteht in der Behandlung von Objekten im
Speicher. Dies erlaubt einem entfernten, nicht authentisierten Angreifer,
mit Hilfe einer speziell präparierten Website, die Rechte des Benutzers zu
übernehmen, der diese Webseite besucht. Eventuell ist der Angreifer in der
Lage, beliebigen Programmcode mit Administratorrechten auszuführen.

CVE-2015-2414: Schwachstelle im Internet Explorer ermöglicht das Ausspähen
von Informationen

Eine Schwachstelle im Internet Explorer basiert auf dem fehlerhaften Umgang
mit zwischengespeicherten Informationen. Ein entfernter, nicht
authentisierter Angreifer kann dies nutzen, um Zugriff auf die Browser
Historie eines Benutzers zu erhalten. Über das Sicherheitsupdate werden die
Cross-Domain-Richtlinien erzwungen.

CVE-2015-2413: Schwachstelle im Internet Explorer ermöglicht das Ausspähen
von Informationen

Eine Schwachstelle im Internet Explorer besteht in der fehlerhaften
Behandlung von Anfragen für Modul-Ressourcen, wodurch die Existenz
spezifischer Dateien auf dem System verraten werden kann. Dies erlaubt es
einem entfernten, nicht authentisierten Angreifer, mit Hilfe einer speziell
präparierten Website, sensible Informationen auszuspähen.

CVE-2015-2412: Schwachstelle im Internet Explorer ermöglicht das Ausspähen
von Informationen

Eine Schwachstelle im Internet Explorer besteht in der fehlerhaften
Überprüfung von Dateipfaden, wodurch das Auslesen beliebiger Dateien auf dem
System durchgeführt werden kann. Dies erlaubt es einem entfernten, nicht
authentisierten Angreifer, mit Hilfe einer speziell präparierten Website,
sensible Informationen auszuspähen.

CVE-2015-2410: Schwachstelle im Internet Explorer ermöglicht das Ausspähen
von Informationen

Eine Schwachstelle im Internet Explorer besteht in der fehlerhaften
Behandlung von Anfragen aus externen Stylesheets, wodurch die Existenz
spezifischer Dateien auf dem System verraten werden kann. Dies erlaubt es
einem entfernten, nicht authentisierten Angreifer, mit Hilfe einer speziell
präparierten Website, sensible Informationen auszuspähen.

CVE-2015-2402: Schwachstelle im Internet Explorer ermöglicht
Privilegieneskalation

Unter bestimmten Umständen überprüft der Internet Explorer Privilegien
fehlerhaft. Ein entfernter, nicht authentisierter Angreifer kann das
ausnutzen, um Programmcode mit erhöhten Rechten zur Ausführung zu bringen.

CVE-2015-2401 CVE-2015-2403 CVE-2015-2404 CVE-2015-2406 CVE-2015-2408
CVE-2015-2411 CVE-2015-2422 CVE-2015-2425: Mehrere Schwachstellen im
Internet Explorer ermöglichen das Ausführen beliebigen Programmcodes

Mehrere Schwachstellen im Internet Explorer bestehen in fehlerhaften
Zugriffen auf Objekte im Speicher, die zu einer Speicherkorruption führen.
Dies erlaubt es einem entfernten, nicht authentisierten Angreifer, mit Hilfe
einer speziell präparierten Website, die Rechte des Benutzers zu übernehmen,
der diese Webseite besucht. Im schlimmsten Fall ist der Angreifer in der
Lage, beliebigen Programmcode mit Administratorrechten auszuführen.

CVE-2015-2398: Schwachstelle im Internet Explorer ermöglicht das Ausspähen
von Informationen

Eine Schwachstelle im Internet Explorer besteht im unzureichenden Schutz vor
Cross-Site-Scripting (XSS)-Angriffen. Ein entfernter, nicht authentisierter
Angreifer kann mittels eines in HTML eingebetteten Elements den XSS-Filter
umgehen und Informationen ausspähen.

CVE-2015-2383 CVE-2015-2384 CVE-2015-2385 CVE-2015-2388 CVE-2015-2389
CVE-2015-2390 CVE-2015-2391 CVE-2015-2397: Mehrere Schwachstellen im
Internet Explorer ermöglichen das Ausführen beliebigen Programmcodes

CVE-2015-1733 CVE-2015-1738 CVE-2015-1767: Mehrere Schwachstellen im
Internet Explorer ermöglichen das Ausführen beliebigen Programmcodes

CVE-2015-1729: Schwachstelle im Internet Explorer ermöglicht das Ausspähen
von Informationen

Eine Schwachstelle im Internet Explorer besteht in der fehlerhaften
Durchsetzung der Cross-Domain-Policies, wodurch Zugriff auf Informationen in
einer anderen Domain oder Internet Explorer Zone möglich wird. Dies erlaubt
es einem entfernten, nicht authentisierten Angreifer, mit Hilfe einer
speziell präparierten Website, sensible Informationen auszuspähen.

CVE-2015-2372: Schwachstelle in VBScript erlaubt Ausführen beliebigen
Programmcodes

Eine Schwachstelle in VBScript besteht in der Behandlung von Objekten im
Speicher. Dies erlaubt es einem entfernten, nicht authentisierten Angreifer,
mit Hilfe einer speziell präparierten Website, die Rechte des Benutzers zu
übernehmen, der diese Webseite besucht. Im schlimmsten Fall ist der
Angreifer in der Lage, beliebigen Programmcode mit Administratorrechten
auszuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1062/

Schwachstelle CVE-2015-2372 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2372

Microsoft Sicherheitshinweis MS15-065 (Internet Explorer):
https://technet.microsoft.com/de-de/library/security/MS15-065

Schwachstelle CVE-2015-1729 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1729

Schwachstelle CVE-2015-1733 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1733

Schwachstelle CVE-2015-1738 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1738

Schwachstelle CVE-2015-1767 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-1767

Schwachstelle CVE-2015-2383 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2383

Schwachstelle CVE-2015-2384 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2384

Schwachstelle CVE-2015-2385 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2385

Schwachstelle CVE-2015-2388 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2388

Schwachstelle CVE-2015-2389 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2389

Schwachstelle CVE-2015-2390 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2390

Schwachstelle CVE-2015-2391 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2391

Schwachstelle CVE-2015-2397 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2397

Schwachstelle CVE-2015-2398 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2398

Schwachstelle CVE-2015-2401 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2401

Schwachstelle CVE-2015-2402 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2402

Schwachstelle CVE-2015-2403 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2403

Schwachstelle CVE-2015-2404 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2404

Schwachstelle CVE-2015-2406 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2406

Schwachstelle CVE-2015-2408 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2408

Schwachstelle CVE-2015-2410 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2410

Schwachstelle CVE-2015-2411 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2411

Schwachstelle CVE-2015-2412 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2412

Schwachstelle CVE-2015-2413 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2413

Schwachstelle CVE-2015-2414 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2414

Schwachstelle CVE-2015-2419 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2419

Schwachstelle CVE-2015-2421 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2421

Schwachstelle CVE-2015-2422 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2422

Schwachstelle CVE-2015-2425 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2425

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.