MS09-056: Sicherheitsrisiken in CryptoAPI können Spoofing ermöglichen

Der Support für Windows Vista Service Pack 1 (SP1) endet am 12. Juli 2011. Um weiterhin Sicherheitsupdates für Windows zu erhalten, müssen Sie Windows Vista mit Service Pack 2 (SP2) ausführen. Weitere Informationen finden Sie auf der folgenden Website: Auslaufender Support für einige Windows-Versionen.

EINFÜHRUNG

Microsoft hat das Sicherheitsbulletin MS09-056 veröffentlicht. Das komplette Sicherheitsbulletin finden Sie auf den folgenden Microsoft-Websites:

• Private Benutzer:

  http://www.microsoft.com/security/updates/bulletins/200910.aspx Überspringen Sie die Details: Laden Sie die Updates für Ihren Heimcomputer oder Laptop jetzt von der Microsoft Update-Website herunter:

  http://update.microsoft.com/microsoftupdate

• IT-Profis:

  http://www.microsoft.com/technet/security/bulletin/MS09-056.mspx

Hilfe und Support zum Sicherheitsupdate

Hilfe beim Installieren von Updates:
Support für Microsoft Update

Sicherheitslösungen für IT-Profis:
TechNet Security – Problembehandlung und Support

Hilfe beim Schützen des Computers, auf dem Windows ausgeführt wird, vor Viren und Schadsoftware:
Safety and Security Center

Lokaler Support entsprechend Ihrem Land/Ihrer Region:
Internationaler Support

Weitere Informationen

Bekannte Probleme, die sich auf dieses Sicherheitsupdate auswirken

• Nach der Installation dieses Updates auf einem Computer mit dem System Center Configuration Manager 2007, Service Pack 1 (SP1)-Client oder dem System Center Configuration Manager 2007 Service Pack 2 (SP2)-Client schlägt eine Benutzerstatusmigration möglicherweise fehl.

  Weitere Informationen zum Beheben dieses Problems finden Sie im folgenden Artikel der Microsoft Knowledge Base:

  977203 Die Benutzerstatusmigration schlägt auf einem System Center Configuration Manager 2007 Service Pack 1-Client oder auf einem System Center Configuration Manager 2007 Service Pack 2-Client fehl, nachdem Sie das Sicherheitsupdate installiert haben 974571

• Dienste, die von Communications Server benötigt werden, werden nicht gestartet, nachdem Sie dieses Update installiert und dann einen Computer neu gestartet haben, auf dem eine der folgenden Versionen von Communications Server ausgeführt wird:

  • Live Communications Server 2005 (LCS)

  • Live Communications Server 2005 SP1

  • Office Communications Server 2007 Enterprise Edition (OCS)

  • Office Communications Server 2007 Standard Edition

  • Office Communications Server 2007 R2 Enterprise Edition

  • Office Communications Server 2007 R2 Standard Edition

  • Nur Testversion von Office Communicator 2007*

  • Nur Testversion von Office Communicator 2007 R2*

  • Office Communicator 2005

  *Die lizenzierte Produktionsversion dieser Anwendung ist von diesem bekannten Problem nicht betroffen. Nur Office Communicator-Clients, die sich im 180-tägigen Evaluierungszeitraum befinden, sind von diesem Problem betroffen.

  Wenn dieses Problem auftritt, werden die folgenden Fehlerereignisse in den Anwendungsprotokollen in der Ereignisanzeige der betroffenen Server protokolliert:

  • Live Communications Server 2005

    Hinweis

    Ereignistyp: Fehler
    Ereignisquelle: Live Communications Server
    Veranstaltungskategorie: (1000)
    Ereignis-ID: 12290
    Datum: Datum
    Zeit: Zeit
    Benutzer: N/A
    Computer: Computer
    Beschreibung:
    Der Evaluierungszeitraum für Microsoft® Office Live Communication Server 2005 ist abgelaufen. Beziehen Sie die veröffentlichte Version dieses Produkts und führen Sie ein Upgrade auf die Nicht-Evaluierungsversion durch, indem Sie setup.exe ausführen.

  • Office Communications Server 2007

    Hinweis

    Protokollname: Office Communications Server
    Quelle: OCS Server
    Datum: Datum
    Ereignis-ID: 12290
    Aufgabenkategorie: (1000)
    Ebene: Fehler
    Schlüsselwörter: Klassisch
    Benutzer: N/A
    Computer: Computer
    Beschreibung:
    Der Evaluierungszeitraum für Microsoft Office Communications Server 2007 R2 ist abgelaufen. Führen Sie ein Upgrade von der Evaluierungsversion auf die Vollversion des Produkts durch.

    Protokollname: Office Communications Server
    Quelle: OCS Server
    Datum: Datum
    Ereignis-ID: 12299
    Aufgabenkategorie: (1000)
    Ebene: Fehler
    Schlüsselwörter: Klassisch
    Benutzer: N/A
    Computer: Computer
    Beschreibung:
    Der Dienst wird aufgrund eines internen Fehlers heruntergefahren.

    Fehlercode: C3E93C23 (SIPPROXY_E_INVALID_INSTALLATION_DATA)
    Ursache: Überprüfen Sie die vorherigen Einträge im Ereignisprotokoll auf die Fehlerursache.
    Lösung:
    Überprüfen Sie die vorherigen Ereignisprotokolleinträge, und beheben Sie sie. Starten Sie den Server neu. Wenn das Problem weiterhin besteht, wenden Sie sich an den Produktsupport.

  Wenn dieses Problem auftritt, verhalten sich die erforderlichen Dienste so, als ob eine abgelaufene Testversion des Produkts installiert wäre. Dieses Verhalten wirkt sich auf das gesamte Communications Server-Unternehmen aus, das von dem oder den betroffenen Servern gehostet wird.

  Kunden, die keinen OCS- oder LCS-Server ausführen, sind von diesem bekannten Problem nicht betroffen und können es bedenkenlos ignorieren.

  Kunden, die das OCS- oder LCS-Produkt auf einem Server bereitgestellt haben, sollten das damit verbundene Risiko abschätzen, um zu entscheiden, ob das Sicherheitsupdate auf diesem Server installiert werden soll. Diese Kunden sollten diesen Knowledge Base-Artikel häufig lesen, da dieser Artikel aktualisiert wird, sobald weitere Informationen und eine Lösung verfügbar sind.

• Wenn Sie die Standard Edition-Rolle bei einer Neuinstallation einer beliebigen Version von Office Communications Server bereitstellen, schlägt die Aktivierung fehl, wenn Sicherheitsupdate 974571 installiert ist. Installieren Sie diesen Fix und starten Sie die Aktivierung erneut, um das Problem zu beheben. Wenn die Aktivierung fehlschlägt, wird das folgende Warnereignis im Office Communications Server-Protokoll in der Ereignisanzeige der betroffenen Server protokolliert.

  Dieses Ereignis wird auch als Fehler im Protokoll "Activate Standard Edition Server" angezeigt:

• Probleme mit Windows 2000 Zertifikatsdiensten und MS09-056

  Smartcard-Zertifikate, die von einer Windows 2000-Zertifizierungsstelle ausgestellt wurden, bei der der userPrincipalname (UPN) des Benutzers leer ist, enthalten möglicherweise einen falsch formatierten alternativen Antragstellernamen (Subject Alternate Name, SAN), der ein zusätzliches NULL-Zeichen enthält.

  Nachdem MS09-056 auf Domänencontrollern in der Domäne installiert wurde, werden diese Smartcards bei Anmeldeversuchen abgelehnt. Die Domänencontroller beginnen mit der Ablehnung ihres SAN, nachdem sie MS09-056 installiert haben.

  Um das Problem zu beheben, stellen Sie die Smartcards der betroffenen Benutzer erneut aus. Wenn eine Windows 2000-Zertifizierungsstelle verwendet wird, um die neuen Smartcard-Zertifikate erneut auszustellen, muss der UPN der betroffenen Benutzer ausgefüllt werden, bevor die Smartcards erneut ausgestellt werden.

Lösung für diese bekannten Probleme

                
                
Eine Lösung zur Behebung dieses Problems steht im Microsoft Download Center zum Download zur Verfügung. Besuchen Sie die folgende Microsoft-Website, um den Fix zu erhalten:

http://go.microsoft.com/fwlink/?LinkId=168248
                
Der Fix (OCSASNFix.exe) unterliegt dem Microsoft-Software-Lizenzvertrag für Office Communications Server 2007 R2, Office Communications Server 2007, Live Communications Server 2005, Office Communicator 2007 R2, Office Communicator 2007 und Office Communicator 2005.

Dieser Fix funktioniert sowohl für Clients als auch für Server und gilt für die folgenden Rollen in allen Versionen von Office Communications Server und Live Communications Server 2005 SP1 sowie für Evaluierungsversionen von Office Communicator:

• Standard Edition Server
• Serverrolle des Direktors
• Enterprise Edition Consolidated
• Enterprise Edition Distributed – Front-End
• Edgeserver
• Proxyserverrolle
• Nur Testversion von Office Communicator 2007
• Nur Testversion von Office Communicator 2007 R2
• Nur Testversion von Office Communicator 2005

                
                
                
                
                
Geben Sie in einer Eingabeaufforderung den folgenden Befehl ein, und drücken Sie anschließend die EINGABETASTE, um die Korrektur auszuführen:

ocsasnfix.exeWenn Sie den Befehl auf einem Computer ausführen, auf dem Office Communication Server 2007, Office Communication Server 2007 R2 oder Live Communications Server 2005 Service Pack 1 ausgeführt wird, wird eine Meldung angezeigt, die der folgenden ähnelt:

                
 Wenn Sie den Befehl auf einem Computer ausführen, auf dem eine Evaluierungsversion von Office Communication Server 2007, Office Communication Server 2007 R2 oder Live Communications Server 2005 ausgeführt wird, wird eine Meldung angezeigt, die der Folgenden ähnelt:

                
                
                
                
Dieser Fix kann entweder vor oder nach der Installation des Sicherheitsupdates 974571 angewendet werden. Wenn Sie den Fix nach der Installation des Sicherheitsupdates 974571 anwenden, wird empfohlen, den Fix vor dem Neustart des Computers anzuwenden. Wenn Sie den Computer nach der Installation des Sicherheitsupdates 974571 bereits neu gestartet haben, kann dieser Fix weiterhin angewendet werden. Die Office Communication Services müssen jedoch manuell gestartet werden.

Wenn alle Dienste ohne Probleme starten, bedeutet dies, dass dieser Fix angewendet wurde und ordnungsgemäß funktioniert.

Mit diesem Fix wird der OCSASNFIX-DWORD-Wert für den folgenden Registrierungsunterschlüssel auf dem OCS 2007/R2- und LCS 2005-SP1-Server auf 1 festgelegt:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RtcSrv\InstallInfo\OCSASNFIX

Weitere bekannte Probleme mit diesem Sicherheitsupdate

Wenn Sie die Standard Edition-Rolle bei einer Neuinstallation einer beliebigen Version von Office Communications Server bereitstellen, schlägt die Aktivierung fehl, wenn Sicherheitsupdate 974571 installiert ist. Um dieses Problem zu beheben, wenden Sie den im Abschnitt "Lösung für diese bekannten Probleme" beschriebenen Fix an, und führen Sie dann die Aktivierung erneut aus.

DATEIINFORMATIONEN

Die englische Version (USA) dieses Softwareupdates installiert Dateien mit den in der nachstehenden Tabelle aufgelisteten Attributen. Datums- und Uhrzeitangaben für diese Dateien sind in der "Universal Time Coordinated" (UTC) angegeben. Die Datums- und Uhrzeitangaben für diese Dateien werden auf Ihrem lokalen Computer in Ihrer Ortszeit und unter Berücksichtigung der Sommerzeit angegeben. Außerdem können sich die Datums- und Uhrzeitangaben ändern, wenn Sie bestimmte Vorgänge mit den Dateien ausführen.

Dateiinformationen für Windows 2000

Alle unterstützten Editionen von Microsoft Windows 2000 Service Pack 4

Dateiinformationen für Windows XP und Windows Server 2003

• Die Dateien, die für einen bestimmten Servicezweig (QFE, GDR) gelten, werden in der Spalte "Servicezweig" angegeben.
• GDR-Servicebereiche enthalten nur allgemein freigegebene Korrekturen für weit verbreitete, kritische Probleme. QFE-Servicebereiche enthalten zusätzlich zu den auf breiter Basis veröffentlichten Korrekturen Hotfixes.
• Zusätzlich zu den in diesen Tabellen aufgeführten Dateien installiert dieses Softwareupdate auch eine zugehörige Sicherheitskatalogdatei (KBnumber.cat), die mit einer digitalen Microsoft-Signatur signiert ist.

Alle unterstützten x86-basierten Versionen von Windows XP

Alle unterstützten x64-basierten Versionen von Windows Server 2003 und Windows XP Professional x64 Edition

Alle unterstützten x86-basierten Versionen von Windows Server 2003

Alle unterstützten IA-64-basierten Versionen von Windows Server 2003

Dateiinformationen für Windows Vista und Windows Server 2008

• Welche Dateien für bestimmte Produkte, Meilensteine (RTM, SPn) und Servicebereiche (LDR, GDR) gelten, ist anhand der Dateiversionsnummern in der folgenden Tabelle zu erkennen:

  Version	Produkt	Meilenstein	Servicezweig
  6.0.6000.16xxx	Windows Vista	RTM	GDR
  6.0.6000.20xxx	Windows Vista	RTM	LDR
  6.0.6001.18xxx	Windows Vista SP1 und Windows Server 2008 SP1	SP1	GDR
  6.0.6001.22xxx	Windows Vista SP1 und Windows Server 2008 SP1	SP1	LDR
  6.0.6002.18xxx	Windows Vista SP2 und Windows Server 2008 SP2	SP2	GDR
  6.0.6002.22xxx	Windows Vista SP2 und Windows Server 2008 SP2	SP2	LDR

• Service Pack 1 ist in die Release-Version von Windows Server 2008 integriert. Daher gelten RTM-Meilensteindateien nur für Windows Vista. RTM-Meilensteindateien haben eine 6.0.0000. XXXXXX Versionsnummer.

• GDR-Servicebereiche enthalten nur allgemein freigegebene Korrekturen für weit verbreitete, kritische Probleme. LDR-Servicebereiche enthalten zusätzlich zu den auf breiter Basis veröffentlichten Korrekturen Hotfixes.

Alle unterstützten x86-basierten Versionen von Windows Vista und Windows Server 2008

Alle unterstützten x64-basierten Versionen von Windows Vista und Windows Server 2008

Alle unterstützten IA-64-basierten Versionen von Windows Server 2008

Dateiinformationen für Windows 7 und Windows Server 2008 R2

Alle unterstützten x86-basierten Versionen von Windows 7

Alle unterstützten x64-basierten Versionen von Windows 7 und Windows Server 2008 R2

Alle unterstützten IA-64-basierten Versionen von Windows Server 2008 R2