Bundesamt für Sicherheit in der Informationstechnik

Technische Warnung

10.01.2018 - TW-T18-0002_Update_1

Außerplanmäßige Microsoft Sicherheitsupdates

Art der Meldung: Warnmeldung

Risikostufe 4

Betroffene Systeme:

  • Microsoft Edge
  • Microsoft Internet Explorer 9
  • Microsoft Internet Explorer 10
  • Microsoft Internet Explorer 11
  • Microsoft SQL Server 2016 SP1 x64
  • Microsoft SQL Server 2017 x64
  • Microsoft Windows
  • Microsoft Windows 7 SP1 x64
  • Microsoft Windows 7 SP1 x86
  • Microsoft Windows 8.1 x64
  • Microsoft Windows 8.1 x86
  • Microsoft Windows 10 x64
  • Microsoft Windows 10 x86
  • Microsoft Windows 10 x64 v1511
  • Microsoft Windows 10 x86 v1511
  • Microsoft Windows 10 x64 v1607
  • Microsoft Windows 10 x86 v1607
  • Microsoft Windows 10 x64 v1703
  • Microsoft Windows 10 x86 v1703
  • Microsoft Windows 10 x64 v1709
  • Microsoft Windows 10 x86 v1709
  • Microsoft Windows Server v1709 (Server Core Installation)
  • Microsoft Windows Server 2008 SP2 x64 Server Core Installation
  • Microsoft Windows Server 2008 SP2 x86 Server Core Installation
  • Microsoft Windows Server 2008 SP2 Itanium
  • Microsoft Windows Server 2008 SP2 x64
  • Microsoft Windows Server 2008 SP2 x86
  • Microsoft Windows Server 2008 R2 SP1 x64 Server Core Installation
  • Microsoft Windows Server 2008 R2 SP1 Itanium
  • Microsoft Windows Server 2008 R2 SP1 x64
  • Microsoft Windows Server 2012
  • Microsoft Windows Server 2012 Server Core Installation
  • Microsoft Windows Server 2012 R2
  • Microsoft Windows Server 2012 R2 Server Core Installation
  • Microsoft Windows Server 2016

Empfehlung:

Microsoft empfiehlt allen Nutzern dringend eine umgehende Installation der verfügbaren Sicherheitsupdates wie auch die Installation eventuell zusätzlich verfügbarer Firmwareupdates für die betroffenen Mikroprozessoren. Microsoft empfiehlt generell die Verwendung automatischer Updates. Wenn Sie diese Funktion nicht nutzen, können Sie die Sicherheitsupdates von der Microsoft-Webseite herunterladen (siehe Referenzen).

Update:

10.01.2018:
Das BSI veröffentlicht detaillierte Informationen zu den Sicherheitslücken 'Meltdown' und 'Spectre'. Neben einer Erläuterung des technischen Hintergrundes und einer Bewertung der von diesen Sicherheitslücken ausgehenden Gefährdung werden Hinweise zu den notwendigen Maßnahmen zum Schutz eigener Systeme bereitgestellt. Da die in diesem Monat von Microsoft veröffentlichten Sicherheitsupdates nur unter bestimmten Voraussetzungen zur Verfügung gestellt werden, informiert das BSI auch über Möglichkeiten, den Status der Aktualisierung der Software zu überprüfen und ggf. manuelle Schritte auszuführen, um die Softwareaktualisierung anzustoßen. Aufgrund möglicher Kompatibilitätsprobleme mit zusätzlich installierter Antivirensoftware und mit bestimmten Prozessoren des Herstellers AMD stehen die Updates nicht allen Anwendern zur Verfügung, auch wenn Windows für die automatische Installation von Updates konfiguriert ist. Eine Referenz auf die BSI-Informationen wurde in diese Meldung aufgenommen.

Beschreibung:

Microsoft Edge ist der neue Standard-Webbrowser, welcher mit Windows 10 ausgeliefert wird und als Nachfolger des Microsoft Internet Explorers Bestandteil des Betriebssystems Windows 10 ist.

Der Windows Internet Explorer von Microsoft ist ein Webbrowser für das Betriebssystem Windows.

Der Microsoft SQL Server (kurz MSSQLServer) ist ein relationales Datenbankmanagementsystem.

Microsoft Windows ist ein graphisches Betriebssystem des Unternehmens Microsoft.

Drei Sicherheitslücken in vielen gängigen Mikroprozessoren sowie mehrere weitere Sicherheitslücken in den derzeit unterstützten Windows-Betriebssystemen, Internet Explorer Versionen, dem Browser Edge und Microsoft SQL-Server erlauben einem Angreifer eine weitgehende Kompromittierung des betroffenen Systems. Microsoft stellt vor dem üblichen Januar Patchtag Sicherheitsupdates bereit, um die Sicherheitslücken zu beheben.
Insbesondere die drei Sicherheitslücken in den Mikroprozessoren haben ein starkes mediales Interesse auf sich gezogen. Wenngleich Microsoft derzeit keine Informationen über eine aktive Ausnutzung der Sicherheitslücken vorliegen, sollten Sie der Update-Empfehlung schnellstmöglich nachkommen, da zu erwarten ist, dass sich dieser Zustand zügig ändern wird.

Microsoft weist außerdem darauf hin, dass die aktuellen Sicherheitsupdates Kompatibilitätsprobleme mit bereits installierter Antivirensoftware verursachen können, durch die betroffene Systeme unter Umständen nicht mehr starten. Antivirensoftware kann sehr tief in den Systemspeicher eingreifen. Microsoft stellt die aktuellen Sicherheitsupdates daher nur für Geräte zur Verfügung, die aktuelle oder von Microsoft unterstützte Virensoftware verwenden. Für Anwender ohne Antivirensoftware stehen zusätzliche Hinweise bereit (siehe Referenzen).

Zusammenfassung:

Microsoft veröffentlicht außer der Reihe Sicherheitsupdates für die derzeit unterstützten Versionen des Internet Explorers, den Browser Edge und SQL-Server sowie alle aktuell unterstützten Windows-Versionen. Die Bereitstellung der Sicherheitsupdates steht mit einer Veröffentlichung von drei Hardware-Sicherheitslücken in vielen üblichen Mikroprozessoren im Zusammenhang, die neben Microsoft auch eine Vielzahl anderer Hersteller und Betriebssysteme betreffen. Die Sicherheitslücken, die unter den Namen 'Meltdown' und 'Spectre' diskutiert werden, können insbesondere zum Ausspähen von Informationen ausgenutzt werden.