Stabsstelle Informationssicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-958

[MS,Mac/Word,Excel] Word und Excel-Dokumente können unbemerkt Dateien auslesen
(2002-10-17 12:38:39.97024+00)

Quelle: https://cert.uni-stuttgart.de/archive/bugtraq/2002/08/msg00369.html

Word bzw. Excel-Dokumente können für den Betrachter des Dokumentes unbemerkt beliebige Dateien in das Dokument einbetten.

Betroffene Systeme

Einfallstor
Betrachten eines Word (bzw. Excel)-Dokumentes und anschließende Speicherung und Weitergabe des Dokumentes.

Auswirkung
Es können beliebige Dateien in das Word (bzw. Excel)-Dokument eingebettet werden, wodurch möglicherweise sensitive Daten in unbefugte Hände gelangen.

Typ der Verwundbarkeit
Für eine Beurteilung liegen dem RUS-CERT derzeit keine ausreichenden Details vor.

Gefahrenpotential
mittel bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Beim Betrachten eines Word-Dokumentes, welches das Feld "INCLUDETEXT" verwendet, kann, für den Betrachter unbemerkt, der Inhalt von lokalen Dateien in das Dokument eingebettet werden. Sollte nun dieses Word-Dokument weitergegeben werden, da es z.B. korrekturgelesen wurde, gelangen unter Umständen sensitive Dateiinhalte in nicht intendierte Hände.

Neben Microsoft Word ist auch Microsoft Excel von solch einer Schwachstelle betroffen, wodurch beim Öffnen eines Excel-Dokumentes möglicherweise beliebige Dateien eingebettet werden können.

Bei Microsoft 97 wird die Schwachstelle bei der Betrachtung des Dokumentes ausgenutzt, hingegen scheint z.B. bei Word 2000 zum Auslösen der notwendigen Aktualisierung des "INCLUDETEXT"-Feldes z.B. ein Ausdruck des Dokumentes notwendig zu sein.

Workaround
Unter Microsoft Word sollte unter "Extras|Optionen|Drucken" in den Druckoptionen "Felder aktualisieren" deaktiviert werden. Unter Word v.X (unter Mac OS X) befindet sich dies unter "Word|Voreinstellungen|Drucken". Möglicherweise beseitigt dieser Workaround die Schwachstelle nicht vollständig - insbesondere wird die Schwachstelle in Word 97 dadurch nicht deaktiviert.

Gegenmaßnahmen
Microsoft stellt seit dem 16.10.2002 Patches zur Verfügung:

Vulnerability ID

Weitere Information zu diesem Thema

Revisionen dieser Meldung

(tf)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=958