Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Microsoft Silverlight 5
Microsoft Silverlight 5 Developer Runtime

Betroffene Plattformen:

Microsoft Windows

Zwei Schwachstellen, in Windows Uniscribe und der Windows-Grafikkomponente,
betreffen Microsoft Silverlight 5 und Microsoft Silverlight 5 Developer
Runtime auf Windows-Systemen und können von einem entfernten, nicht
authentisierten Angreifer ausgenutzt werden, um das betroffene System
komplett zu übernehmen.

Im Rahmen des Juni-Patchtages veröffentlicht Microsoft Sicherheitsupdates
zur Behebung der Schwachstellen.

Patch:

Microsoft Security Update Guide

https://portal.msrc.microsoft.com/de-de/security-guidance

CVE-2017-8527: Schwachstelle in Windows-Grafikkomponente ermöglicht
komplette Systemübernahm

Eine Schwachstelle in der Windows-Grafikkomponente basiert auf der
unpassenden Verarbeitung von manipulierten, eingebetteten Fonts durch die
Windows-Font-Bibliothek. Zur Ausnutzung der Schwachstelle muss ein Angreifer
einen Benutzer dazu verleiten, eine von ihm kontrollierte Webseite
anzusehen. Dies geschieht zumeist über einen Link in einer E-Mail oder
Nachricht oder durch das Öffnen eines manipulierten E-Mail-Anhangs. In einem
Datei-Sharing-Szenario kann die Ausnutzung über ein manipuliertes Dokument
erfolgen. Ein entfernter, nicht authentifizierter Angreifer kann die
Schwachstelle ausnutzen, um die komplette Kontrolle über das betroffene
System zu übernehmen. Benutzer, die mit weniger Rechten am System angemeldet
sind, sind von der Schwachstelle weniger betroffen, als Benutzer, die mit
Administratorrechten arbeiten.

CVE-2017-0283: Schwachstelle in Windows Uniscribe ermöglicht komplette
Kompromittierung des Systems

Aufgrund der Art und Weise, wie Microsoft Uniscribe Objekte im Speicher
behandelt, besteht die Möglichkeit, ein betroffenes System aus der Ferne
komplett zu kompromittieren. Ein entfernter, nicht authentisierter Angreifer
kann die Schwachstelle beispielsweise mit Hilfe einer speziell präparierten
Webseite, die ein Benutzer besucht, oder mit Hilfe von Dokumentdateien, die
der Benutzer aufruft, ausnutzen. Falls Office-Produkte auf dem System
installiert sind, können die Auswirkungen der Schwachstelle bereits
ausgelöst werden, indem ein Benutzer ein speziell präpariertes Dokument in
der Vorschauansicht aufruft.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1026/

Microsoft Security Update Guide:
https://portal.msrc.microsoft.com/de-de/security-guidance

Microsoft Juni 2017 Sicherheitsupdates:
https://portal.msrc.microsoft.com/de-de/security-guidance/releasenotedetail/40969d56-1b2a-e711-80db-000d3a32fc99

Schwachstelle CVE-2017-0283 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-0283

Schwachstelle CVE-2017-8527 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-8527

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.