Kritische Sicherheitslücke in Microsoft Office

Microsoft hat am Mittwoch einige Sicherheitslücken in seinen Office-Produkten gemeldet. Ein besonders kritisches Problem betrifft dabei die VBA Komponente zahlreicher Office-Produkte. VBA wird zur Erstellung von Anwendungen genutzt, die den Funktionsumfang der Office-Applikationen erweitern. Für alle Lücken sind laut dem Redmonder Riesen inzwischen Patches veröffentlicht.

Von der Sicherheitslücke betroffen sind die Versionen 97, 2000 und 2002 von Word, Excel, Access und Powerpoint. Von Project und Visio sind die Versionen 2000 und 2002 betroffen und von Works Suite die Versionen 2000, 2001 und 2002. Einige Applikationen, die unter dem Label Microsoft Business Solutions verkauft werden, weisen dieselbe Sicherheitslücke auf. Dazu zählt Version 7.5 der Great Planes Accounting Software.

Um die Sicherheitslücke auszunutzen, würde ein Angreifer in den meisten Fällen eine E-Mail mit einem entsprechend veränderten Dokument versenden. Daher sollen die Anwender laut Simon Marks, Produktmanager für Office bei Microsoft, mit Dateianhängen „die sie nicht erwarten oder von unbekannten Personen erhalten“ sehr vorsichtig sein.

Zur Behebung der Sicherheitslücke verweist Microsoft auf seine Office-Update-Seite und sein Security Bulletin. Ferner könnten in Outlook Regeln eingerichtet werden, wie mit E-Mails mit Dateianhängen verfahren werden soll.

Eine andere Sicherheitslücke betrifft Word in den Versionen 97, 98, 2000 und 2002 sowie Works Suite in den Versionen 2001, 2002 und 2003. Dabei kann ein Angreifer ein Macro automatisch ausführen.

Weitere Löcher betreffen den Importfilter für Corel Wordperfect-Dokumente in den Programmen Works Suite, Frontpage und Publisher sowie den Snapshot Viewer von Access 97 bis 2002. In beiden Fällen kann ein Angreifer beliebigen Code auf dem Rechner ausführen. Ein Problem mit der Netbios Komponente hat zur Folge, dass die Antwort auf eine Netzwerkanfrage „unter bestimmten Umständen“ sensible Daten aus dem Speicher enthalten kann.

Microsoft kam durch die andauernden Sicherheitslücken in die Kritik, da das Unternehmen durch die „Trustworthy Computing Initiative“ versucht, auf Anwenderseite mehr Vertrauen für seine Software zu generieren.