Stabsstelle Informationssicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-853

[MS/Office] Patches für Schwachstellen in Word und Excel
(2002-06-20 12:59:55.878734+00)

Quelle: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS02-031.asp

Microsoft stellt einen Sammelpatch für Word und Excel zur Verfügung, der unter anderem vier neue Schwachstellen beseitigt, die die Ausführung beliebigen Programmcodes im Benutzerkontext ermöglichen.

Betroffene Systeme

Frühere Versionen des Office-Produktes werden von Microsoft nicht mehr unterstützt und auch nicht mehr auf etwaige Schwachstellen untersucht. Es ist davon auszugehen, dass z.B. Office 97 ebenfalls (zumindest teilweise) betroffen ist.

Einfallstor

  1. Öffnen einer Excel-Datei und Klick auf eingebettete "inline macros"
  2. Öffnen einer Excel-Datei und Klick auf eine verlinkte Grafik
  3. XLS-Dokument welches mit Excel geöffnet wird, dabei kann es sich um eine arglistige Webseite, HTML-E-Mail oder HTML-Newsgruppenartikel handeln
  4. HTML-Dokument welches mit Word geöffnet wird, dabei kann es sich beispielsweise um eine HTML-E-Mail handeln

Auswirkung
Ausführung beliebigen Programmcodes mit den Privilegien des Benutzers.
(remote user compromise)

Typ der Verwundbarkeit

  1. design flaw
  2. design flaw
  3. design flaw
  4. design flaw

Gefahrenpotential

  1. mittel bis hoch
  2. mittel bis hoch
  3. mittel bis hoch
  4. mittel bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung

  1. Microsoft Excel weist eine Schwachstelle bei der Verarbeitung von "inline macros" auf, wodurch das Makro-Sicherheitsmodell umgangen werden kann. Dadurch können in Excel-Zellen eingebettete Makros beim Betrachten der Excel-Datei durch Klick auf das eingebettete Objekt ohne weitere Warnung und unter Umgehung der Makro-Sicherheitseinstellungen ausgeführt werden.
  2. Das Makro-Sicherheitsmodell von Excel überprüft ferner in Excel-Dateien eingebettete Grafiken (drawing shapes) mit Hyperlinks (d.h. beim Klick auf das Bild wird beispielsweise eine dazugehörige Webseite geöffnet) nicht. Dadurch kann dieser Hyperlink beispielsweise auf eine weitere Excel-Datei mit Makros verweisen, welche beim Klick auf die Grafik, entgegen den Macro-Sicherheitseinstellungen, incl. Makros ausgeführt wird.
  3. Auf eine Schwachstelle in Excel bei der Verarbeitung von Dokumenten, die XML und Stylesheets beinhalten, wurde bereits in der RUS-CERT-Meldung #801 aufmerksam gemacht.
  4. Durch eine Schwachstelle in Word kann beim Betrachten einer HTML-Datei (mit Word) beliebiger Programmcode ausgeführt werden. Voraussetzung ist allerdings, dass Access installiert ist. Es handelt sich dabei um eine Variante der MS00-071-Schwachstelle.

Gegenmaßnahmen
Microsoft stellt Patches zur Verfügung:

Vulnerability ID

Weitere Information zu diesem Thema

(tf)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=853