Wichtige Sicherheitsupdates für Microsofts Office-Anwendungen
Mehrere Fehler in Office-Produkten gefährden die Daten-Sicherheit von Anwendern.
Eine im Security Bulletin MS03-035 beschriebene Schwachstelle ermöglicht es, Makros in Dokumenten unabhängig von den Sicherheitseinstellungen in Word ausführen zu lassen. Betroffen davon sind
- Microsoft Word 97
- Microsoft Word 98
- Microsoft Word 2000
- Microsoft Word 2002
- Microsoft Works Suite 2001
- Microsoft Works Suite 2002
- Microsoft Works Suite 2003
Wird das Dokument mit Word geöffnet, könnte ein Makro Befehle im Kontext des Benutzers ausführen, wie etwa Daten löschen, mit Webservern kommunizieren oder die Festplatte formatieren.
Um einen Angriff erfolgreich durchzuführen, muss ein Angreifer sein Opfer aber dazu veranlassen, das manipulierte Word-Dokument zu öffnen. Die Hürden sind hier aber erfahrungsgemäß nicht sonderlich hoch: Ein Word-Dokument, als Mail-Anhang versendet, wird meist ohne weitere Nachfrage geöffnet -- insbesondere, da die Endung .doc, im Gegensatz zu .scr und .pif, nicht verdächtig erscheint und viele Benutzer sich auf die Sicherheitseinstellungen von Word im Umgang mit Makros verlassen. Es ist anzunehmen, das demnächst ein neue Welle von Makro-Viren auf die Benutzer zukommt. Microsoft selbst allerdings gewichtet den Fehler nur als important, nicht etwa als critical.
Siehe dazu auch:
- Security Bulletin MS03-035 von Microsoft
Im Security Bulletin MS-03-036 weist Microsoft zudem auf einen Puffer-Überlauf im WordPerfect-Konverter hin, der in vielen Microsoft-Applikationen enthalten ist. Mit einem manipuliertem WordPerfect-Dokument kann ein Angreifer beliebigen Code einschleusen und im Kontext der aufrufenden Applikation ausführen, zum Beispiel FrontPage, Word oder Publisher. Auch hier muss ein Anwender das Dokument selbst öffnen. Betroffen sind
- Microsoft Office 97
- Microsoft Office 2000
- Microsoft Office XP
- Microsoft Word 98 (J)
- Microsoft FrontPage 2000
- Microsoft FrontPage 2002
- Microsoft Publisher 2000
- Microsoft Publisher 2002
- Microsoft Works Suite 2001
- Microsoft Works Suite 2002
- Microsoft Works Suite 2003
Siehe dazu auch: (dab)
- Security Bulletin MS03-036 von Microsoft
