Sicherheitsleck in Visual Basic erlaubt Programmausführung

Alle Office-Applikationen und weitere Microsoft-Produkte betroffen

Wie Microsoft berichtet, existiert in Visual Basic for Applications (VBA) ein schweres Sicherheitsleck, worüber ein Angreifer beliebigen Programmcode mit den Rechten des angemeldeten Anwenders ausführen kann. Da VBA in zahlreichen Microsoft-Produkten verwendet wird, sind auch etliche Applikationen von dem Sicherheitsrisiko betroffen. Ein weiteres Sicherheitsleck enthält der Access-Viewer, worüber ein Angreifer ebenfalls Programmcode auf einem fremden System ausführen kann.

Artikel veröffentlicht am 4. September 2003, 10:10 Uhr, Ingo Pakalski

Das Sicherheitsleck in Visual Basic for Applications (VBA) tritt auf, weil die VBA-Komponente zur Überprüfung der Dokumenteigenschaften einen Fehler aufweist. Wird ein Dokument von der Host-Applikation geöffnet, tritt ein Buffer Overrun auf, worüber ein Angreifer beliebige Programme mit den Rechten des angemeldeten Nutzers ausführen kann. Microsoft stuft das Sicherheitsrisiko als hoch ein.

VBA ist Bestandteil zahlreicher Office-Applikationen von Microsoft, so dass neben etlichen Word-, Excel-, PowerPoint- und Access-Versionen auch die Programme Project, Publisher, Visio, die WorksSuite sowie etliche Business-Solutions aus dem Hause Microsoft davon betroffen sind. Wird etwa Word in Outlook als HTML-Editor eingebunden, genügt bereits das Antworten oder Weiterleiten einer E-Mail, damit ein Angreifer sich das Sicherheitsleck zu Nutze machen kann. Als weitere Angriffsvariante muss ein Angreifer den Anwender lediglich dazu bringen, eine Office-Datei zu öffnen.

Ein weiteres Sicherheitsleck betrifft den zum Lieferumfang von Access gehörenden Access-Viewer, worüber eine Datenbank für andere erstellt werden kann, die auch ohne eine Access-Installation eingesehen werden kann. Auch hier führt eine Sicherheitslücke dazu, dass ein Angreifer Programmcode mit den Rechten des angemeldeten Nutzers ausführen kann, wenn dieser das Opfer auf eine entsprechend formatierte Webseite schleust.

Microsoft bietet über ein aktuelles Security Bulletin Patches für die verschiedenen Office- und Microsoft-Applikationen gegen das VBA-Sicherheitsleck zum Download an. Für die Sicherheitslücke im Access-Viewer stehen Patches ebenfalls zum Download bereit.