Microsoft lässt Word-Sicherheitslücken weiter offen

Patch-Day schließt fünf Excel-Lecks und drei Outlook-Sicherheitslücken

Die Vermutung hat sich nicht bestätigt, dass Microsoft endlich die drei offenen Sicherheitslücken in Word schließt. Zwar hat der Softwarekonzern drei Patches für sein Office-Paket veröffentlicht, aber keines dieser Korrekturen kümmert sich um die seit Dezember 2006 bekannten Sicherheitslücken, zu denen im Internet bereits Schadcode unterwegs ist. Immerhin wird das im Januar 2007 bekannt gewordene Sicherheitsleck in Excel geschlossen.

Anzeige

Ein Patch für Excel schließt mit einem Schlag fünf verschiedene Sicherheitslücken in Microsofts Tabellenkalkulation. Hierbei wird auch das Sicherheitsloch in Excel geschlossen, das diesen Monat bekannt wurde. Alle fünf Sicherheitslöcher erlauben einem Angreifer, beliebigen Programmcode auszuführen, sofern ein entsprechend präpariertes Excel-Dokument vom Opfer geöffnet wird. Die Sicherheitslücken wurden für Excel 2000, 2002, 2003, den Excel-Viewer 2003 und die WorksSuite 2004 sowie 2005 bestätigt. Auch Excel für MacOS X ist von dem Problem betroffen. Excel 2007 soll die Fehler nicht enthalten. Auf zwei dieser Sicherheitslücken in Excel wurde Microsoft bereits im September 2006 hingewiesen. Es dauerte also vier Monate, bis Redmond Patches veröffentlicht hat.

Ein weiterer Patch kümmert sich um drei Sicherheitslücken in Outlook 2000, 2002 sowie 2003. Zwei dieser Sicherheitslücken können zum Ausführen beliebigen Programmcodes missbraucht und ein Sicherheitsloch kann für eine Denial-of-Service-Attacke genutzt werden. Das eine kritische Sicherheitsleck tritt beim Öffnen einer OSS-Datei (virtuelle Ordner) auf, während das andere gefährliche Sicherheitsloch bei Abruf einer iCal-Besprechungsanfrage zuschlägt. In allen drei Fällen kann ein Angriff über eine entsprechend manipulierte E-Mail erfolgen.

Ein Sicherheitsloch bei der Verarbeitung von VML-Dateien im Internet Explorer gestattet einem Angreifer, beliebigen Code auszuführen. Dazu muss er ein Opfer lediglich dazu bringen, eine entsprechend präparierte VML-Datei zu öffnen, die dann den ungeprüften Puffer in Microsofts VML-Implementierung ausnutzt. Ein Patch für Windows 2000, XP und Microsoft Server 2003 steht zum Download bereit. Windows Vista ist von dem Fehler nicht betroffen. Dieses Sicherheitsleck wurde bereits Anfang Oktober 2006 an Microsoft gemeldet und der Konzern brauchte mehr als drei Monate zum Bereitstellen eines Patches.

In Office 2003 wird ein Sicherheitsleck geschlossen, das nur bei Einsatz der brasilianisch-portugiesischen Grammatikprüfung auftritt. Wird beim Öffnen einer Office-Datei die Grammatikprüfung vorgenommen, erfolgt nur eine unzureichende Datenprüfung, so dass ein Angreifer beliebigen Programmcode einschleusen und ausführen kann.

Mit dem Patch-Day vom Januar 2007 hat sich die Hoffnung nicht bestätigt, dass Microsoft endlich die drei Sicherheitslücken in Word schließt, die im Dezember 2006 entdeckt wurden. Für all diese Sicherheitslecks ist bereits Schadcode im Internet aufgetaucht. Am Vorab-Patch-Day hat Microsoft zunächst doppelt so viele Sicherheits-Patches in Aussicht gestellt. Aber bereits kurz danach wurde diese Ankündigung zurückgezogen und von den acht geplanten Patches blieben für den diesmonatigen Patch-Day nur noch vier übrig. Einen Grund für diese Änderung gab es nicht.

Winboard.org bietet bereits inoffizielle Update-Pakete für Windows 2000 mit Service Pack 4, für Windows XP mit Service Pack 2, für Windows XP in der 64-Bit-Ausführung sowie für Windows Server 2003 mit Service Pack 1 und ein passendes CD-Image zum Download an. Diese stehen als Upgrade und als Vollversion bereit. Das Update-Paket für Windows XP mit Service Pack 2 gibt es auch in einer englischen Sprachversion. Auch Winhelpline.de bietet Patch-Pakete zum Download, die derzeit für Windows 2000, XP und Windows Server 2003 zu haben sind. In Kürze wird wohl auch WinFuture.de mit einem Sammel-Patch für Windows XP nachziehen.


fghfgh 10. Jan 2007

Nicht rummaulen ! es gibt schließlich Alternativen die noch mehr Funktionen bieten als...

Fusselbär 10. Jan 2007

14 Tage sind eine übliche Frist. ;-) Schön, das mal so durchzuspielen, aber ich glaube...

Thor 10. Jan 2007

Von wegen hoher Preis, Word ist geschenkt. Wir erstellen hier Software die ist erheblich...

Bukowski 10. Jan 2007

Aber sicher doch, die Lücke wurde auf Wunsch der NSA offen gelassen. Denn sie wissen was...

adireibo 10. Jan 2007

Das bezweifel ich doch oftmals stark.

Kommentieren



Anzeige

  1. Systemadvisor (m/w) IT for Manufacturing
    Robert Bosch GmbH, Stuttgart-Feuerbach
  2. Abteilungsleiter (m/w) IT-Betrieb
    Landwirtschaftliche Rentenbank, Frankfurt am Main
  3. Field Service Engineer (m/w) für 3D-Drucker
    3D Systems GmbH, Raum Frankfurt, Hamburg, Berlin und deutschlandweit (Home-Office)
  4. SAP Berater/in QM-Prozesse und Lösungen
    Schaeffler Technologies AG & Co. KG, Nürnberg

 

Detailsuche


Spiele-Angebote
  1. Grim Fandango Remastered
    11,89€
  2. The Elder Scrolls Online: Tamriel Unlimited (PC)
    21,71€ (ab dem 17. März kostenlos ohne Abo spielbar!)
  3. Little Big Planet 3 - Extras Edition (PS4)
    49,97€

 

Weitere Angebote


Folgen Sie uns
       


  1. IMHO

    Zertifizierungen sind der falsche Weg

  2. Firmware

    Sigma-Objektiv produziert Wackelbilder statt scharfer Fotos

  3. Hutchison Whampoa

    Telefónica verkauft O2 nach Hongkong

  4. Maxwell-Grafikkarte

    Die Geforce GTX 970 hat ein kurioses Videospeicher-Problem

  5. Patentanmeldung

    Apples Smart Cover soll wirklich schlau werden

  6. OS X

    Apple will Thunderstrike-Exploits mit Patch verhindern

  7. Soziales Netzwerk

    Justizministerium kritisiert Facebooks neue AGB

  8. Raumfahrt

    Nasa will Mars-Rover mit Helikopter ausstatten

  9. Windows Phone und Tablets

    Die Dropbox-App ist da

  10. Sony Alpha 7 II im Test

    Fast ins Schwarze getroffen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Displayport über USB-C: Huckepack-Angriff auf HDMI
Displayport über USB-C
Huckepack-Angriff auf HDMI

In eigener Sache: Golem pur - eine erste Bilanz
In eigener Sache
Golem pur - eine erste Bilanz
  1. Internet im Flugzeug Gogo benutzt gefälschte SSL-Zertifikate für Youtube
  2. Golem.de 2014 Ein Blick in unsere Zahlen
  3. In eigener Sache Schöne Feiertage!

Filmkritik: In Blackhat steht die Welt am Abgrund
Filmkritik
In Blackhat steht die Welt am Abgrund
  1. Cyberwaffe NSA-Tool Regin im Kanzleramt entdeckt
  2. Rocket Kitten Die Geschichte einer Malware-Analyse
  3. Cyberwaffe Attacke auf EU-Kommission wohl mit NSA- und GCHQ-Tool Regin

    •  / 
    Zum Artikel