Microsoft lässt Word-Sicherheitslücken weiter offen

Patch-Day schließt fünf Excel-Lecks und drei Outlook-Sicherheitslücken

Die Vermutung hat sich nicht bestätigt, dass Microsoft endlich die drei offenen Sicherheitslücken in Word schließt. Zwar hat der Softwarekonzern drei Patches für sein Office-Paket veröffentlicht, aber keines dieser Korrekturen kümmert sich um die seit Dezember 2006 bekannten Sicherheitslücken, zu denen im Internet bereits Schadcode unterwegs ist. Immerhin wird das im Januar 2007 bekannt gewordene Sicherheitsleck in Excel geschlossen.

Ein Patch für Excel schließt mit einem Schlag fünf verschiedene Sicherheitslücken in Microsofts Tabellenkalkulation. Hierbei wird auch das Sicherheitsloch in Excel geschlossen, das diesen Monat bekannt wurde. Alle fünf Sicherheitslöcher erlauben einem Angreifer, beliebigen Programmcode auszuführen, sofern ein entsprechend präpariertes Excel-Dokument vom Opfer geöffnet wird. Die Sicherheitslücken wurden für Excel 2000, 2002, 2003, den Excel-Viewer 2003 und die WorksSuite 2004 sowie 2005 bestätigt. Auch Excel für MacOS X ist von dem Problem betroffen. Excel 2007 soll die Fehler nicht enthalten. Auf zwei dieser Sicherheitslücken in Excel wurde Microsoft bereits im September 2006 hingewiesen. Es dauerte also vier Monate, bis Redmond Patches veröffentlicht hat.

Ein weiterer Patch kümmert sich um drei Sicherheitslücken in Outlook 2000, 2002 sowie 2003. Zwei dieser Sicherheitslücken können zum Ausführen beliebigen Programmcodes missbraucht und ein Sicherheitsloch kann für eine Denial-of-Service-Attacke genutzt werden. Das eine kritische Sicherheitsleck tritt beim Öffnen einer OSS-Datei (virtuelle Ordner) auf, während das andere gefährliche Sicherheitsloch bei Abruf einer iCal-Besprechungsanfrage zuschlägt. In allen drei Fällen kann ein Angriff über eine entsprechend manipulierte E-Mail erfolgen.

Ein Sicherheitsloch bei der Verarbeitung von VML-Dateien im Internet Explorer gestattet einem Angreifer, beliebigen Code auszuführen. Dazu muss er ein Opfer lediglich dazu bringen, eine entsprechend präparierte VML-Datei zu öffnen, die dann den ungeprüften Puffer in Microsofts VML-Implementierung ausnutzt. Ein Patch für Windows 2000, XP und Microsoft Server 2003 steht zum Download bereit. Windows Vista ist von dem Fehler nicht betroffen. Dieses Sicherheitsleck wurde bereits Anfang Oktober 2006 an Microsoft gemeldet und der Konzern brauchte mehr als drei Monate zum Bereitstellen eines Patches.

In Office 2003 wird ein Sicherheitsleck geschlossen, das nur bei Einsatz der brasilianisch-portugiesischen Grammatikprüfung auftritt. Wird beim Öffnen einer Office-Datei die Grammatikprüfung vorgenommen, erfolgt nur eine unzureichende Datenprüfung, so dass ein Angreifer beliebigen Programmcode einschleusen und ausführen kann.

Mit dem Patch-Day vom Januar 2007 hat sich die Hoffnung nicht bestätigt, dass Microsoft endlich die drei Sicherheitslücken in Word schließt, die im Dezember 2006 entdeckt wurden. Für all diese Sicherheitslecks ist bereits Schadcode im Internet aufgetaucht. Am Vorab-Patch-Day hat Microsoft zunächst doppelt so viele Sicherheits-Patches in Aussicht gestellt. Aber bereits kurz danach wurde diese Ankündigung zurückgezogen und von den acht geplanten Patches blieben für den diesmonatigen Patch-Day nur noch vier übrig. Einen Grund für diese Änderung gab es nicht.

Winboard.org bietet bereits inoffizielle Update-Pakete für Windows 2000 mit Service Pack 4, für Windows XP mit Service Pack 2, für Windows XP in der 64-Bit-Ausführung sowie für Windows Server 2003 mit Service Pack 1 und ein passendes CD-Image zum Download an. Diese stehen als Upgrade und als Vollversion bereit. Das Update-Paket für Windows XP mit Service Pack 2 gibt es auch in einer englischen Sprachversion. Auch Winhelpline.de bietet Patch-Pakete zum Download, die derzeit für Windows 2000, XP und Windows Server 2003 zu haben sind. In Kürze wird wohl auch WinFuture.de mit einem Sammel-Patch für Windows XP nachziehen.