[Warning] Kritische Schwachstelle in Microsoft Excel
Robert Waldner
waldner at cert.at
Wed Feb 25 17:40:59 CET 2009
Kritische Schwachstelle in Microsoft Excel
25. Februar 2009
Kritische Schwachstelle in Microsoft Excel
CERT.at ersucht um Beachtung der folgenden Hinweise.
Beschreibung
Durch einen Fehler in Microsoft Excel ist es Angreifern möglich,
durch speziell präparierte Dateien beliebigen Code mit den Rechten
des Anwenders auszuführen. Es ist nach derzeitigem Wissensstand nicht
möglich, solche Attacken ohne Benutzer-Interaktion durchzuführen, dh.
ein Angreifer muss den Benutzer dazu bringen, eine speziell
präparierte Datei zu öffnen.
Auswirkungen
Da Angreifer potentiell beliebigen Code auf betroffenen Systemen
ausführen können, sind alle Daten auf diesen Systemen, sowie
potentiell alle durch diese erreichbaren (etwa durch Login, VPN etc.)
Daten und anderen Systeme gefährdet.
Betroffene Systeme
Laut Microsoft sind folgende Produkte betroffen:
* Microsoft Office Excel 2000 Service Pack 3
* Microsoft Office Excel 2002 Service Pack 3
* Microsoft Office Excel 2003 Service Pack 3
* Microsoft Office Excel 2007 Service Pack 1
* Microsoft Office Excel Viewer 2003
* Microsoft Office Excel Viewer 2003 Service Pack 3
* Microsoft Office Excel Viewer
* Microsoft Office Compatibility Pack for Word, Excel, and
PowerPoint 2007 File Formats Service Pack 1
* Microsoft Office 2004 for Mac
* Microsoft Office 2008 for Mac
Abhilfe
Da es noch keine Patches für dieses Problem gibt, emfpiehlt
Microsoft, Office-Dateien aus nicht vertrauenswürdigen Quellen bzw.
unerwartet zugesandte (etwa per Email) Office-Dateien nicht zu
öffnen.
Eine andere Möglichkeit ist es, MOICE (Microsoft Office Isolated
Conversion Environment) zu verwenden, eine Software von Microsoft,
die es ermöglicht, "alte" Dateiformate in einer sicheren
Sandbox-Umgebung in aktuelle zu konvertieren. Details siehe das
Advisory von Microsoft.
Weiters ist es möglich, das Öffnen von "alten" Office-Dateien
generell zu deaktivieren, Details bitte wieder dem Advisory von
Microsoft zu entnehmen.
Microsoft hat noch keinen Termin für entsprechende Patches genannt,
wir erwarten diesen aber spätestens zum nächsten "Patch-Day" im März
- dieses Update sollte dann natürlich sobald wie möglich installiert
werden. Bitte beachten sie hierzu auch den entsprechenden Punkt unter
"Hinweise"!
Hinweise
Generell empfiehlt CERT.at, wo möglich die "automatisches
Update"-Features von Software zu nutzen, parallel Firewall-Software
installiert zu haben und den Virenschutz aktuell zu halten.
*******************************************************************
* Im Fall von Microsoft-Produkten weisen wir darauf hin, dass es in
* vielen Fällen notwendig ist, zumindest ein Mal manuell die
* [1]Microsoft-Update-Website zu besuchen, um automatische Updates
* auch für Microsoft-Produkte ausser dem Betriebssystem Windows - wie
* Microsoft Office - zu aktivieren.
*******************************************************************
_________________________________________________________________
Informationsquelle(n):
Microsoft Security Advisory (968272)
[2]http://www.microsoft.com/technet/security/advisory/968272.mspx
Microsoft-Update Website
[3]http://www.update.microsoft.com/
Verweise
1. http://www.update.microsoft.com/
2. http://www.microsoft.com/technet/security/advisory/968272.mspx
3. http://www.update.microsoft.com/
--
/ Robert Waldner | <waldner at cert.at> \
\ T: +43 1 5056416 | http://www.cert.at/ /
-------------- next part --------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 260 bytes
Desc: OpenPGP digital signature
URL: <http://lists.cert.at/pipermail/warning/attachments/20090225/144d60cf/attachment.sig>
More information about the Warning
mailing list