OpenOffice 2.0.3 schließt Sicherheitslücken
Mit OpenOffice 2.0.3 sowie einem Patch für Version 1.1.5 schließen die Entwickler des quelloffenen, kostenlosen Office-Pakets drei Sicherheitslücken. Die Lücken erlaubten Angreifern, beliebigen Code mit den Rechten des Office-Nutzers auszuführen.
Es ist ja schon ein Weilchen her, dass Sun das dritte Update für die kommerzielle Variante StarOffice 8 des Officepakets OpenOffice freigegeben hat. Ursprünglich wollten die Entwickler die neue Version der Open-Source-Variante für Windows, Linux und Solaris wenige Tage danach freigeben. Doch mehrere Anläufe mit insgesamt sieben "Release Candidates" scheiterten an plötzlich auftretenden Fehlern, die laut Projektteam auf keinen Fall in die finale Version einfließen durften.
Nun aber ist es geschafft, Version 2.0.3 von OpenOffice ist fertig und auf den Download-Seiten zu haben. Gegenüber der Vorgängerversion betreffen die Änderungen in OpenOffice 2.0.3 fast ausschließlich Fehlerkorrekturen, die das Paket auch stabiler machen sollen. Überarbeitete Import-/Export-Filter sollen zudem den Dokumentaustausch mit Microsoft-Office-Benutzern verbessern. In der deutschsprachigen Version wird, wenn diese Ausgabe von OpenOffice 2.0.3 fertig ist, standardmäßig Rechtschreibkorrektur und Thesaurus integriert, sodass man diese Komponenten nicht mehr umständlich nachinstallieren muss.
Die Entwickler des quelloffenen Office-Pakets schließen mit neuen Versionen außerdem drei Sicherheitslücken. Die Sicherheitslecks erlaubten Angreifern, beliebigen Code mit den Rechten des Office-Nutzers auszuführen. Allerdings wurden die Lücken den Entwicklern zufolge noch nicht aktiv ausgenutzt, sondern bei einer internen Quellcode-Überprüfung gefunden.
Einer der Fehler betrifft die Sandbox, in der Java-Applets ausgeführt werden. Applets konnten aus dieser Sicherheitsumgebung ausbrechen und so mit Benutzerrechten Dateien anlegen, überschreiben oder zerstören sowie etwa vertrauliche Daten lesen und versenden. Eine weitere geschlossene Lücke erlaubte es, Makros in Dokumente einzubetten, die beim Öffnen ohne Rückfrage ausgeführt wurden. Makros können ebenfalls auf Dateien zugreifen und Daten versenden.
Die dritte Schwachstelle, die das Einschmuggeln von Schadcode ermöglichte, trat beim Verarbeiten von präparierten XML-Dokumenten auf. Der dabei auftretende Pufferüberlauf erlaubt das Schreiben von Werten an beliebige Speicherstellen. In OpenOffice 2.0.3 sind die Fehler behoben, für OpenOffice 1.1.5 wollen die Entwickler in Kürze einen Patch nachliefern. Die internationalen OpenOffice-Versionen stehen derzeit noch nicht bereit, sollten aber auch in wenigen Tagen auf den Projektseiten herunterzuladen sein.
Anders als das dritte Update für StarOffice 8 stehen die Korrekturen nicht als Patch-Paket für bestehende Installationen zur Verfügung, sodass auch Benutzer der Version 2.0.2 das vollständige OpenOffice 2.0.3 herunterladen und installieren müssen.
Siehe dazu auch: (dmk)
- Security Vulnerability With Java Applets in OpenOffice.org, Sicherheitsmeldung von OpenOffice.org
- Security Vulnerability With Macros in OpenOffice.org, Sicherheitsmeldung von OpenOffice.org
- File Format / Buffer Overflow Vulnerability: Loading malformed XML documents can cause buffer overflows and crash OpenOffice.org, Sicherheitsmeldung von OpenOffice.org
- Download der aktualisierten OpenOffice-Pakete
- Deutsche Projektseite von OpenOffice.org
