Art der Meldung: Warnmeldung
Risikostufe 5
Sicherheitsupdate für Mozilla Thunderbird

27.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
Mozilla Thunderbird vor 52.5.2
SUSE Package Hub for SUSE Linux Enterprise 12
Apple macOS
GNU/Linux
Microsoft Windows
openSUSE Leap 42.2
openSUSE Leap 42.3
____________________________________________________________________________________________________
Empfehlung:
Aktualisieren Sie den E-Mail-Client Thunderbird auf die Version 52.5.2. Die Software können Sie
über die angegebene Update-Seite laden und entsprechend den Anweisungen installieren. Das
Sicherheitsupdate wird als kritisch bewertet, daher sollten Sie der Update-Empfehlung zügig folgen.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Thunderbird ist der Open-Source E-Mail-Client der Mozilla Foundation.
Mehrere Sicherheitslücken in Mozilla Thunderbird können von einem Angreifer aus dem Internet
ausgenutzt werden, um bei der Darstellung von 3D-Inhalten oder RSS-Feeds beliebigen Programmcode
auf Ihrem System auszuführen, vertrauliche Informationen auszuspähen oder falsche Absenderadressen
in E-Mails darzustellen.
____________________________________________________________________________________________________
Zusammenfassung:
Mozilla veröffentlicht die Thunderbird Version 52.5.2, in der eine kritische Sicherheitslücke auf
Windows-Systemen behoben wird. Weitere Sicherheitslücken betreffen auch alle anderen
Betriebssysteme.
____________________________________________________________________________________________________
Quellen:
– https://posteo.de/blog/sicherheits-warnung-f%C3%BCr-thunderbird-und-enigmail-nutzer-schwachstellen-gef%C3%A4hrden-vertraulichkeit-der-kommunikation
– https://www.mozilla.org/en-US/security/advisories/mfsa2017-30/
– https://www.mozilla.org/de/thunderbird
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 4
Sicherheitsupdate für VMware Workstation und VMware Player

20.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
VMware Workstation vor Player 12.5.8
VMware Workstation vor Pro 12.5.8
Apple macOS
GNU/Linux
Microsoft Windows
VMware ESXi
____________________________________________________________________________________________________
Empfehlung:
Installieren Sie die von VMware zur Verfügung gestellten Sicherheitsupdates VMware Workstation oder
VMware Player 12.5.8. Diese können Sie über die VMware Webseite herunterladen.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
VMware Workstation ermöglicht die Virtualisierung von Betriebssystemen. Es wird in den Versionen
Workstation Player und Workstation Pro für Windows und Linux vertrieben. Die Verwendung von
Workstation Player (früher VMware Player) ist im nicht-kommerziellen Bereich kostenlos. Mit dem
Workstation Player können fertig eingerichtete virtuelle Maschinen „abgespielt“ werden, er stellt
also eine Art Viewer dar.
VMware schließt zwei Schwachstellen in VMware Workstation und VMware Player, durch die ein
entfernter, einfach authentisierter Angreifer beliebigen Programmcode auf Ihrem System zur
Ausführung bringen kann.
____________________________________________________________________________________________________
Zusammenfassung:
Es werden zwei Schwachstellen in VMware Workstation und VMware Player behoben, durch die ein
entfernter, einfach authentisierter Angreifer beliebigen Programmcode ausführen kann.
____________________________________________________________________________________________________
Quellen:
– https://www.vmware.com/security/advisories/VMSA-2017-0021.html
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 5
Sicherheitsupdates für Android

18.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
Google Nexus
Google Pixel
BlackBerry powered by Android
BlackBerry powered by Android vor 2017-12-01
Google Android Operating System
Google Android Operating System vor 5.1.1 2017-12-05
Google Android Operating System vor 6.0 2017-12-05
Google Android Operating System vor 6.0.1 2017-12-05
Google Android Operating System vor 7.0 2017-12-05
Google Android Operating System vor 7.1.1 2017-12-05
Google Android Operating System vor 7.1.2 2017-12-05
Google Android Operating System vor 8.0 2017-12-05
LG Mobile Android
LG Mobile Android vor SMR-DEC-2017
Samsung Mobile Android
Samsung Mobile Android vor SMR-DEC-2017
____________________________________________________________________________________________________
Empfehlung:
Aktualisieren Sie Google Android 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 und 8.0 auf die Version
2017-12-05 oder 2017-12-01 über die automatische Update-Funktion innerhalb des Produktes, sobald
diese Version für Ihr Gerät verfügbar ist. Google hat weitere Hersteller über die Schwachstellen
informiert. Informationen zur Verfügbarkeit der betreffenden Sicherheitsupdates erhalten Sie vom
jeweiligen Hersteller oder Ihrem Mobilfunkbetreiber. Sobald Ihnen für Ihr Gerät ein
Sicherheitsupdate angeboten wird, sollten Sie dieses installieren.
____________________________________________________________________________________________________
Update:
18.12.2017:
BlackBerry veröffentlicht ein Sicherheitsupdate für BlackBerry powered by Android, mit dem 51
Sicherheitslücken geschlossen werden. Das Update ist analog zu Google Android durch die Bezeichnung
‚Patch Level December 1, 2017‘ identifizierbar. BlackBerry empfiehlt ein Update auf die neueste
verfügbare Version des Betriebssystems. Die Verfügbarkeit des Updates kann von Zwischenhändlern und
regionalen Netzbetreibern abhängen.
05.12.2017:
____________________________________________________________________________________________________
Beschreibung:
BlackBerry powered by Android ist die von BlackBerry Ltd. überarbeitete Version von Google Android
zum Einsatz auf BlackBerry Smartphones.
Android ist ein Betriebssystem und eine Software-Plattform für mobile Geräte wie Smartphones,
Mobiltelefone, Netbooks und Tablet-Computer. Sie wird von der Open Handset Alliance entwickelt,
deren Hauptmitglied der Google-Konzern ist.
LG Mobile produziert Mobiltelefone mit einem angepassten Google Android Betriebssystem.
Samsung Mobile produziert Mobiltelefone mit einem angepassten Google Android Betriebssystem.
Google schließt mit den aktuellen Sicherheitsupdates für Android eine Vielzahl von
Sicherheitslücken, von denen ein Teil als kritisch eingestuft wird. Die Sicherheitslücken können
von einem entfernten und nicht angemeldeten Angreifer zumeist mit Hilfe manipulierter Dateien oder
manipulierter Anwendungen, zu deren Installation der Angreifer Sie verleitet, ausgenutzt werden.
Eine erfolgreiche Ausnutzung der Sicherheitslücken ermöglicht dem Angreifer das Ausspähen geheimer
Informationen, das Erlangen von Berechtigungen für die Ausführung von Aktionen auf Ihrem Gerät, das
Einschränken der Verfügbarkeit bestimmter Dienste und sowie das Ausführen beliebiger Befehle und
Programme und damit eine insgesamt weitreichende Manipulation Ihres Gerätes. Mindestens eine der
kritischen Sicherheitslücken kann nur von einem Angreifer in unmittelbarer Nähe ausgenutzt werden.
____________________________________________________________________________________________________
Zusammenfassung:
Google schließt für Smartphones und ähnliche Geräte mit dem Betriebssystem Android 47
Sicherheitslücken, von denen zehn vom Hersteller als kritisch eingestuft werden. Bisher wurden
Informationen zu Sicherheitsupdates für Google Nexus- und Pixel-Geräte veröffentlicht. Für diese
Geräte wurden 48 weitere Sicherheitslücken behoben, eine davon kritischer Natur. Samsung und LG
stellen zeitgleich Betriebssystemupdates für einige Geräte aus eigener Herstellung bereit und
beheben damit einen Teil der von Google gemeldeten Sicherheitslücken sowie mehrere
herstellerspezifische Sicherheitslücken in den Geräten.
____________________________________________________________________________________________________
Quellen:
– https://source.android.com/security/bulletin/2017-12-01.html
– https://lgsecurity.lge.com/security_updates.html
– https://source.android.com/security/bulletin/pixel/2017-12-01.html
– https://security.samsungmobile.com/securityUpdate.smsb
– http://support.blackberry.com/kb/articleDetail?language=en_US%26articleNumber=000047154
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 4
Sicherheitsupdate für den Google Chrome Browser

15.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
Chromium vor 63.0.3239.108
Google Chrome vor 63.0.3239.108
Apple Mac OS X
GNU/Linux
Microsoft Windows
____________________________________________________________________________________________________
Empfehlung:
Installieren Sie das Update auf die neue Version des Chrome Browsers zeitnah, damit Ihr System
nicht über die jetzt veröffentlichten Sicherheitslücken angreifbar ist. Zum jetzigen Zeitpunkt
stellt der Hersteller noch keine detaillierten Informationen zu der Sicherheitslücke bereit,
sondern wartet darauf, dass ein möglichst großer Teil der Benutzer das Sicherheitsupdate
installiert hat, bevor er weitere Informationen bereitstellt. Sobald detaillierte Informationen
frei verfügbar sind, steigt das Risiko einer Ausnutzung der Sicherheitslücke, weshalb Sie das
Sicherheitsupdate vor der Veröffentlichung zusätzlicher Informationen einspielen sollten.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Chromium ist die Open-Source Variante des Google Chrome Browsers. Chromium ist für verschiedene
Betriebssysteme, u.a. für BSD, Linux und Windows verfügbar.
Chrome ist ein kostenfreier Webbrowser des Google-Konzerns. Er ist für Windows (ab Windows XP), Mac
OS X, Linux, Android und iOS verfügbar. Das Programm ist ein integraler Bestandteil des Google
Chrome OS.
Mit der Veröffentlichung der Google Chrome Browser Version 63.0.3239.108 behebt der Hersteller zwei
Sicherheitslücken, von denen nur eine explizit genannt wird. Die Sicherheitslücke ermöglicht einem
Angreifer aus dem Internet einen Angriff auf Ihr System, durch den möglicherweise schädlicher
Scriptcode auf diesem ausgeführt und Ihr System dadurch geschädigt werden kann.
____________________________________________________________________________________________________
Zusammenfassung:
Google veröffentlicht für die Betriebssysteme Linux, Windows sowie macOS den Google Chrome Browser
in der Version 63.0.3239.108. Mit dem Sicherheitsupdate behebt der Hersteller unter anderem eine
als kritisch eingestufte Sicherheitslücke. Das Update wird als Download und über die
Auto-Update-Funktion zur Verfügung gestellt.
____________________________________________________________________________________________________
Quellen:
– https://chromereleases.googleblog.com/2017/12/stable-channel-update-for-desktop_14.html
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 4
Apple veröffentlicht iTunes für Windows 12.7.2 als Sicherheitsupdate

14.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
Apple iTunes vor 12.7.2
Microsoft Windows
Microsoft Windows 7
Microsoft Windows 8.1
Microsoft Windows 10
____________________________________________________________________________________________________
Empfehlung:
Installieren Sie iTunes für Windows auf Version 12.7.2. Sie können die aktuelle Version der
Software direkt vom Hersteller herunterladen.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Mit dem Verwaltungsprogramm Apple iTunes werden multimediale Inhalte, von Musik über Filme bis hin
zu Apps, verwaltet und gekauft.
Apple behebt mit einem Sicherheitsupdate für iTunes für Windows mehrere Sicherheitslücken, die von
einem Angreifer aus dem Internet ausgenutzt werden können, um beliebige Aktionen auf Ihrem Gerät
auszuführen und private Informationen über Sie zu sammeln
____________________________________________________________________________________________________
Zusammenfassung:
In iTunes für Windows existieren mehrere Sicherheitslücken.
____________________________________________________________________________________________________
Quellen:
– https://support.apple.com/kb/HT208326
– https://www.apple.com/de/itunes/download/
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 4
Apple veröffentlicht iCloud für Windows 7.2 als Sicherheitsupdate

14.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
iCloud vor 7.2
Microsoft Windows 7
Microsoft Windows 8.1
Microsoft Windows 10
____________________________________________________________________________________________________
Empfehlung:
Installieren Sie iCloud für Windows auf Version 7.2. Sie können die aktuelle Version der Software
direkt vom Hersteller herunterladen.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Apple iCloud ist eine Softwarelösung von Apple, die verschiedene Dienste aus dem Angebot von Apple
und persönliche Daten von Nutzern auf entfernten Servern von Apple archiviert, um sie nach Bedarf
zur Verfügung zu stellen oder mit lokalen Geräten zu synchronisieren.
Apple behebt mit einem Sicherheitsupdate für iCloud für Windows mehrere Sicherheitslücken, die von
einem Angreifer aus dem Internet ausgenutzt werden können, um beliebige Aktionen auf Ihrem Gerät
auszuführen und private Informationen über Sie zu sammeln.
____________________________________________________________________________________________________
Zusammenfassung:
In iCloud für Windows existieren mehrere Sicherheitslücken.
____________________________________________________________________________________________________
Quellen:
– https://support.apple.com/kb/HT208328
– https://support.apple.com/de-de/HT204283
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 4
Sicherheitsupdate auf Apple iOS 11.2.1

14.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
Apple iPad ab Air
Apple iPhone ab 5s
Apple iPod Touch ab 6G
Apple iOS vor 11.2.1
____________________________________________________________________________________________________
Empfehlung:
Nehmen Sie die Aktualisierung auf die iOS Version 11.2.1 zeitnah vor, um eine Ausnutzung der jetzt
bekannt gewordenen Sicherheitsanfälligkeit zu verhindern. Die iOS Version 11.2.1 kann als
‚Over-The-Air‘ (OTA) Update oder per Download über iTunes bezogen werden.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
iOS ist das Standardbetriebssystem auf Apple-Geräten wie iPhone, iPod touch und iPad. Es wurde auf
Basis des Betriebssystems MAC OS X entwickelt.
In der Komponente HomeKit von Apple iOS bis einschließlich Version 11.2 existiert eine
Sicherheitslücke. Ein Angreifer aus dem Internet kann diese zum Umgehen von Sicherheitsvorkehrungen
ausnutzen, um daraufhin weitere Angriffe auszuführen.
____________________________________________________________________________________________________
Zusammenfassung:
Apple stellt sein mobiles Betriebssystem iOS in der Version 11.2.1 bereit, über welche eine
Sicherheitslücke behoben wird, die es einem Angreifer aus dem Internet ermöglicht
Sicherheitsvorkehrungen zu umgehen und dadurch eventuell weitere Angriffe auszuführen.
____________________________________________________________________________________________________
Quellen:
– https://support.apple.com/kb/HT208357
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 4
Apple veröffentlicht Safari 11.0.2 als Sicherheitsupdate

14.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
Apple Safari vor 11.0.2
Apple Mac OS X 10.11.6
macOS High Sierra 10.13.2
macOS Sierra 10.12.6
____________________________________________________________________________________________________
Empfehlung:
Installieren Sie den Browser Safari in der Version 11.0.2. Auf aktuellen Betriebssystemen erfolgt
das Update automatisch, für ältere Betriebssysteme steht der Browser über den App Store bereit. Das
Sicherheitsupdate steht bereits seit einigen Tagen zur Verfügung.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Der Webbrowser Safari wurde von Apple für Mac OS X entwickelt.
Apple behebt mit einem Sicherheitsupdate für Apple Safari für Mac OS X El Capitan 10.11.6, macOS
Sierra 10.12.6 und macOS High Sierra 10.13.2 mehrere Sicherheitslücken, die von einem Angreifer aus
dem Internet ausgenutzt werden können, um beliebige Aktionen auf Ihrem Gerät auszuführen.
____________________________________________________________________________________________________
Zusammenfassung:
Im Browser Safari von Apple existieren mehrere Sicherheitslücken.
____________________________________________________________________________________________________
Quellen:
– https://support.apple.com/kb/HT208324
– https://support.apple.com/de-de/HT204416
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 4
Sicherheitsupdate für den Adobe Flash Player

13.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
Adobe Flash Player vor 28.0.0.126
Adobe Flash Player vor 28.0.0.126 for Google Chrome
Adobe Flash Player vor 28.0.0.126 for Microsoft Edge and Internet Explorer 11
Apple macOS
GNU/Linux
Chrome OS
Microsoft Windows 8.1
Microsoft Windows 10
Microsoft Windows 10 1511
Microsoft Windows 10 1607
Microsoft Windows 10 1703
Microsoft Windows 10 1709
Microsoft Windows RT 8.1
Microsoft Windows Server v1709 (Server Core Installation)
Microsoft Windows Server 2012
Microsoft Windows Server 2012 R2
Microsoft Windows Server 2016
____________________________________________________________________________________________________
Empfehlung:
Aktualisieren Sie den Adobe Flash Player auf die Version 28.0.0.126. Sofern Sie nicht die
automatische Update-Funktion innerhalb des Produktes benutzen, beziehen Sie die aktualisierte
Version aus dem Adobe Flash Player Download Center (Referenz anbei).
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Mit dem Flash Player werden multimediale aktive Inhalte wiedergegeben. Das Programm ist integraler
Bestandteil zahlreicher Adobe Produkte.
Ein Angreifer aus dem Internet kann die Sicherheitslücke im Adobe Flash Player vermutlich mittels
einer manipulierten Datei ausnutzen, um ein Zurücksetzen der globalen System-Einstellungen zu
verursachen. Eventuell kann die Manipulation der System-Einstellungen dem Angreifer weitere
Möglichkeiten eröffnen, Ihr System zu schädigen.

Adobe stellt die Flash Player Version 28.0.0.126 als Sicherheitsupdate für Windows, macOS, Chrome
OS und Linux bereit. Das Sicherheitsupdate hat nach Herstellerinformation für die Betriebssysteme
Windows, macOS und Chrome OS eine Priorität von ‚2‘, ein Update wird demnach innerhalb der nächsten
Wochen empfohlen. Für Linux-Systeme liegt die Priorität nur bei ‚3‘, ein Update ist also nicht
dringend.

Microsoft veröffentlicht im Zuge des Dezember Patchtages den Sicherheitshinweis ADV170022, um über
dieses Flash Player Update zu informieren. In Abweichung zu Adobe stuft Microsoft das Update als
‚kritisch‘ ein und kategorisiert die Auswirkung als ‚Remotecodeausführung‘. Das bedeutet, dass die
Sicherheitslücke für das Ausführen beliebiger Befehle genutzt werden kann, wodurch ein betroffenes
System sehr umfassend geschädigt werden kann. Nähere Informationen bezüglich der Gründe für diese
Einstufung werden von Microsoft nicht bereitgestellt.

Aufgrund der unterschiedlichen Bewertung von Adobe und Microsoft wird diese Sicherheitswarnung mit
einer Kritikalität von ‚hoch‘ versendet, welche sich derzeit allerdings nur auf Windows-Systeme
bezieht.
____________________________________________________________________________________________________
Zusammenfassung:
Im Adobe Flash Player bis einschließlich Version 27.0.0.187 existiert eine Sicherheitslücke, über
die globale Einstellungen zurückgesetzt werden können. Das Zurücksetzen der Einstellungen kann als
Ausgangspunkt für weitere Angriffe dienen.
____________________________________________________________________________________________________
Quellen:
– https://get.adobe.com/flashplayer/
– https://get.adobe.com/flashplayer/about/
– http://helpx.adobe.com/security/products/flash-player/apsb17-42.html
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

Art der Meldung: Warnmeldung
Risikostufe 4
Microsoft Sicherheitsupdates im Dezember 2017

13.12.2017____________________________________________________________________________________________________
Betroffene Systeme:
Adobe Flash Player
ChakraCore
Microsoft Edge
Microsoft Exchange Server 2013 Cumulative Update 17
Microsoft Exchange Server 2013 Cumulative Update 18
Microsoft Exchange Server 2016 Cumulative Update 6
Microsoft Exchange Server 2016 Cumulative Update 7
Microsoft Internet Explorer 9
Microsoft Internet Explorer 10
Microsoft Internet Explorer 11
Microsoft Malware Protection Engine vor 1.1.14405.2
Microsoft Office 2010 SP2 x64
Microsoft Office 2010 SP2 x86
Microsoft Office 2013 RT SP1
Microsoft Office 2013 SP1 x64
Microsoft Office 2013 SP1 x86
Microsoft Office 2016 Click-to-Run (C2R) für 64-Bit-Editionen
Microsoft Office 2016 Click-to-Run (C2R) für 32-Bit-Editionen
Microsoft Office 2016 Mac
Microsoft Office 2016 x64
Microsoft Office 2016 x86
Microsoft Sharepoint Server Enterprise 2016
Microsoft Word 2007 SP3
Microsoft Word 2010 SP2 x64
Microsoft Word 2010 SP2 x86
Microsoft Word 2013 RT SP1
Microsoft Word 2013 SP1 x64
Microsoft Word 2013 SP1 x86
Microsoft Word 2016 x64
Microsoft Word 2016 x86
Apple macOS
Microsoft Windows
Microsoft Windows 7 SP1 x64
Microsoft Windows 7 SP1 x86
Microsoft Windows 8.1 x64
Microsoft Windows 8.1 x86
Microsoft Windows 10 x64
Microsoft Windows 10 x86
Microsoft Windows 10 x64 v1511
Microsoft Windows 10 x86 v1511
Microsoft Windows 10 x64 v1607
Microsoft Windows 10 x86 v1607
Microsoft Windows 10 x64 v1703
Microsoft Windows 10 x86 v1703
Microsoft Windows 10 x64 v1709
Microsoft Windows 10 x86 v1709
Microsoft Windows RT 8.1
Microsoft Windows Server v1709 (Server Core Installation)
Microsoft Windows Server 2008 SP2 x64 Server Core Installation
Microsoft Windows Server 2008 SP2 x86 Server Core Installation
Microsoft Windows Server 2008 SP2 Itanium
Microsoft Windows Server 2008 SP2 x64
Microsoft Windows Server 2008 SP2 x86
Microsoft Windows Server 2008 R2 SP1 x64 Server Core Installation
Microsoft Windows Server 2008 R2 SP1 Itanium
Microsoft Windows Server 2008 R2 SP1 x64
Microsoft Windows Server 2012
Microsoft Windows Server 2012 Server Core Installation
Microsoft Windows Server 2012 R2
Microsoft Windows Server 2012 R2 Server Core Installation
Microsoft Windows Server 2016
Microsoft Windows Server 2016 Server Core Installation
____________________________________________________________________________________________________
Empfehlung:
Installieren Sie die Sicherheitsupdates möglichst zeitnah über die Windows-Update-Funktion, um vor
einer Ausnutzung der Sicherheitslücken geschützt zu sein. Alternativ können Sie die
Sicherheitsupdates auch von der Microsoft-Webseite herunterladen (siehe Referenzen). Microsoft
empfiehlt generell die Verwendung automatischer Updates. Das Sicherheitsupdate für den Adobe Flash
Player muss für jeden Browser, den Sie verwenden, einzeln und möglicherweise händisch eingespielt
werden. Lediglich der Internet Explorer und Edge können das Update automatisch erhalten.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Mit dem Flash Player werden multimediale aktive Inhalte wiedergegeben. Das Programm ist integraler
Bestandteil zahlreicher Adobe Produkte.
ChakraCore ist das Kernelement der Chakra JavaScript-Engine, die Microsoft Edge antreibt.
Microsoft Edge ist der neue Standard-Webbrowser, welcher mit Windows 10 ausgeliefert wird und als
Nachfolger des Microsoft Internet Explorers Bestandteil des Betriebssystems Windows 10 ist.
Microsoft Exchange Server ist eine Server-Software. Sie ermöglicht die zentrale Ablage und
Verwaltung von Mails, Terminen und Kalendern, Kontakten und Adressen, Aufgaben und weiteren
Elementen.
Der Windows Internet Explorer von Microsoft ist ein Webbrowser für das Betriebssystem Windows.
Die Malware Protection Engine ist die zentrale Komponente verschiedener Sicherheitsprodukte von
Microsoft und wird für das Scannen, Erkennen und Entfernen von Viren und Spyware genutzt.
Microsoft Office ist ein Paket von Bürosoftware für die Betriebssysteme Microsoft Windows und Mac
OS. Für unterschiedliche Aufgabenstellungen werden verschiedene sogenannte Editionen angeboten, die
sich in den enthaltenen Komponenten, dem Preis und der Lizenzierung unterscheiden.
SharePoint Server ist ein Produkt der Firma Microsoft für die virtuelle Zusammenarbeit von
Benutzern unter einer Weboberfläche mit einer gemeinsamen Daten- und Informationsablage.
Microsoft Word ist die Textverarbeitungssoftware des MS Office-Paketes.
Microsoft Windows ist ein graphisches Betriebssystem des Unternehmens Microsoft.
Microsoft schließt mit den Updates für Dezember 2017 zahlreiche Sicherheitslücken, die zum Teil
schwerwiegende Auswirkungen haben können. Die Sicherheitslücken ermöglichen es einem entfernten,
nicht am System angemeldeten Angreifer aus dem Internet, beliebige Befehle mit den Rechten eines
angemeldeten Benutzers auszuführen. Je mehr Rechte der betroffene Benutzer für seine Arbeit
verwendet, desto gravierender sind die Schäden, die ein Angreifer über die Sicherheitslücken
anrichten kann. Im schlimmsten Fall, wenn ein Benutzer mit Administratorrechten arbeitet, kann ein
Angreifer die vollständige Kontrolle über das betroffene System erlangen. Durch erfolgreiche
Angriffe ist es dem Angreifer darüber hinaus möglich, private Daten auszuspähen, Ihr System oder
einzelne Anwendungen kontrolliert zum Absturz zu bringen sowie Schutzmechanismen des Systems zu
umgehen und dadurch weitere Angriffe auszuführen.

Zur Härtung Ihres Systems gegenüber Sicherheitslücken werden zusätzlich sogenannte
‚Defense-in-Depth‘-Updates für Microsoft Office und den Exchange-Server veröffentlicht, durch die
aktuelle und zukünftige Angriffe erschwert werden sollen. Der Exchange Server ist auch von den
beiden vorab veröffentlichten Sicherheitslücken in der Malware Protection Engine betroffen. Diese
Sicherheitslücken betreffen Sicherheitssoftware von Microsoft, unter anderem also auch den Windows
Defender.

Besonders im Fokus für private Anwender stehen darüber hinaus diesen Monat je eine Sicherheitslücke
in Internet Explorer und Microsoft Excel (über Microsoft Office 2016 Click-to-Run), durch die ein
Angreifer aus dem Internet beliebigen Programmcode zur Ausführung bringen kann. Eine weitere
Sicherheitslücke in Microsoft Windows selbst ermöglicht es einem Angreifer, das Zugangspasswort
eines Benutzers zu erraten oder zu berechnen, nachdem er diesen zum Besuch einer Internetseite
verleitet hat.
____________________________________________________________________________________________________
Zusammenfassung:
Microsoft veröffentlicht mit dem Patchtag im Dezember 2017 Sicherheitsupdates für mehrere Produkte.
Sicherheitsupdates stehen unter anderem für den Browser Edge und dessen Bestandteil Chakra Core,
für die derzeit unterstützten Versionen des Internet Explorers, für Microsoft Office und Word (auch
für macOS), den Sharepoint-Server, den Exchange Server, die Malware Protection Engine sowie alle
aktuell unterstützten Windows-Versionen zur Verfügung.
____________________________________________________________________________________________________
Quellen:
– https://portal.msrc.microsoft.com/de-de/security-guidance/releasenotedetail/c383fa60-b852-e711-80dd-000d3a32f9b6
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger
Tweets by BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn