Weitere Sicherheitslücke in Excel durch Buffer Overflow
Arbeiten mit Excel wird langsam zur Mutprobe: Eine weitere Sicherheitslücke in Excel gefährdet die Systemsicherheit, da sich darüber beliebiger Code einschleusen und ausführen lässt. Allerdings muss der Anwender einen Hyperlink in einem Dokument anklicken
- Daniel Bachfeld
Microsoft hat kurz nach Bekanntwerden einer Sicherheitslücke in Excel eine weitere Lücke im Tabellenkalkulationsprogramm bestätigt. Diesmal handelt es sich um einen Buffer Overflow beim Klicken auf überlange Links in Excel-Dokumenten. Nach Angaben der Sicherheitsspezialisten von Secunia eignet sich die Lücke, um darüber beliebigen Code in ein System zu schleusen und auszuführen. Angreifer könnten so mittels präparierter Dokumente ein System mit Viren und Würmer infizieren.
Im Unterschied zur in der vergangenen Woche veröffentlichten Lücke genügt es jedoch diesmal nicht, nur ein Dokument zu öffnen, um einen Rechner zu infizieren. Vielmehr muss der Anwender aktiv auf einen manipulierten Link in einer Excel-Datei klicken. Aufgrund der erforderlichen Nutzerinteraktion stuft Secunia das Problem statt "extrem kritisch" auch nur als "hoch kritisch" ein. Der Fehler steckt in der Windows-Komponente hlink.dll, die neben Excel auch von anderen Anwendungen benutzt wird und zum Lieferumfang von Windows 2000, XP und Server 2003 gehört. Betroffen sind Excel 2000, 2002, 2003, Excel Viewer 2003, Office 2000, Office 2003 Professional Edition, Office 2003 Small Business Edition, Office 2003 Standard Edition, Office 2003 Student und Teacher Edition sowie Office XP. Derzeit herrscht aber noch Unklarheit, in welchen Kombinationen das Problem auftritt und ob etwa auch Word-Dokumente betroffen sind.
Ein Patch steht noch nicht zu Verfügung, auch die andere Lücke in Excel klafft weiterhin, für die die Redmonder bislang nur einen Workaround herausgegeben haben.
Siehe dazu auch: (dab)
- Information on Proof of Concept posting about hlink.dll, Blogeintrag vom Microsoft Security Response Center
- Microsoft Excel Unicode Overflow , Fehlermeldung auf Full Disclosure
