Deutsch | English

Kritische Schwachstelle in Microsoft Excel

25. Februar 2009

Kritische Schwachstelle in Microsoft Excel

CERT.at ersucht um Beachtung der folgenden Hinweise.

Beschreibung

Durch einen Fehler in Microsoft Excel ist es Angreifern möglich, durch speziell präparierte Dateien beliebigen Code mit den Rechten des Anwenders auszuführen. Es ist nach derzeitigem Wissensstand nicht möglich, solche Attacken ohne Benutzer-Interaktion durchzuführen, dh. ein Angreifer muss den Benutzer dazu bringen, eine speziell präparierte Datei zu öffnen.

Auswirkungen

Da Angreifer potentiell beliebigen Code auf betroffenen Systemen ausführen können, sind alle Daten auf diesen Systemen, sowie potentiell alle durch diese erreichbaren (etwa durch Login, VPN etc.) Daten und anderen Systeme gefährdet.

Betroffene Systeme

Laut Microsoft sind folgende Produkte betroffen:
  • Microsoft Office Excel 2000 Service Pack 3
  • Microsoft Office Excel 2002 Service Pack 3
  • Microsoft Office Excel 2003 Service Pack 3
  • Microsoft Office Excel 2007 Service Pack 1
  • Microsoft Office Excel Viewer 2003
  • Microsoft Office Excel Viewer 2003 Service Pack 3
  • Microsoft Office Excel Viewer
  • Microsoft Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats Service Pack 1
  • Microsoft Office 2004 for Mac
  • Microsoft Office 2008 for Mac

Abhilfe

Da es noch keine Patches für dieses Problem gibt, emfpiehlt Microsoft, Office-Dateien aus nicht vertrauenswürdigen Quellen bzw. unerwartet zugesandte (etwa per Email) Office-Dateien nicht zu öffnen.

Eine andere Möglichkeit ist es, MOICE (Microsoft Office Isolated Conversion Environment) zu verwenden, eine Software von Microsoft, die es ermöglicht, "alte" Dateiformate in einer sicheren Sandbox-Umgebung in aktuelle zu konvertieren. Details siehe das Advisory von Microsoft.

Weiters ist es möglich, das Öffnen von "alten" Office-Dateien generell zu deaktivieren, Details bitte wieder dem Advisory von Microsoft zu entnehmen.

Microsoft hat noch keinen Termin für entsprechende Patches genannt, wir erwarten diesen aber spätestens zum nächsten "Patch-Day" im März - dieses Update sollte dann natürlich sobald wie möglich installiert werden. Bitte beachten sie hierzu auch den entsprechenden Punkt unter "Hinweise"!

Hinweise

Generell empfiehlt CERT.at, wo möglich die "automatisches Update"-Features von Software zu nutzen, parallel Firewall-Software installiert zu haben und den Virenschutz aktuell zu halten.

Im Fall von Microsoft-Produkten weisen wir darauf hin, dass es in vielen Fällen notwendig ist, zumindest ein Mal manuell die Microsoft-Update-Website zu besuchen, um automatische Updates auch für Microsoft-Produkte ausser dem Betriebssystem Windows - wie Microsoft Office - zu aktivieren.


Informationsquelle(n):

Microsoft Security Advisory (968272)
http://www.microsoft.com/technet/security/advisory/968272.mspx
Microsoft-Update Website
http://www.update.microsoft.com/
Email: reports@cert.at
Tel.: +43 1 5056416 78
mehr ...
Schwerwiegende Sicherheitsprobleme in Systemen mit aktuellen Intel-Prozessoren
21. November 2017 Beschreibung Wie ...
Kritische Sicherheitslücke in Adobe Flash Player - aktiv ausgenützt - Patches verfügbar
16. Oktober 2017 | Beschreibung Adobe ...
mehr ...
Es steht KRACK auf dem Speiseplan!
16. Oktober 2017 | Auch ...
Ein paar Thesen zu aktuellen Gesetzesentwürfen
31. Juli 2017 | Das Thema ...
mehr ...
Jahresbericht 2016
Ein Resumee zur digitalen Sicherheitslage in Österreich

(HTML, PDF).
Letzte Änderung: 2013/7/17 - 17:00:08
Haftungsausschluss