Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Microsoft Excel 2007 Sp3
Microsoft Excel 2010 Sp2 X64
Microsoft Excel 2010 Sp2 X86
Microsoft Excel 2013 X64
Microsoft Excel 2013 X86
Microsoft Excel 2013 RT
Microsoft Excel 2013 SP1
Microsoft Excel 2013 RT SP1
Microsoft Office 2007 SP3
Microsoft Office 2010 SP2 X64
Microsoft Office 2010 SP2 X86
Microsoft Office 2011 Mac
Microsoft Office 2013 RT
Microsoft Office 2013 X64
Microsoft Office 2013 X86
Microsoft Office 2013 RT SP1
Microsoft Office 2013 SP1 X64
Microsoft Office 2013 SP1 X86
Microsoft Office Compatibility Pack SP3
Microsoft Office Web Apps 2010 SP2
Microsoft Office Web Apps 2013
Microsoft Office Web Apps 2013 SP1
Microsoft Office Web Apps Server 2013
Microsoft Office Web Apps Server 2013 SP1
Microsoft Office Word Viewer
Microsoft Sharepoint Server 2010 Sp2
Microsoft Sharepoint Server 2013
Microsoft Sharepoint Server 2013 SP1
Microsoft Word 2007 Sp3
Microsoft Word 2010 Sp2 X64
Microsoft Word 2010 Sp2 X86
Microsoft Word 2013 Rt
Microsoft Word 2013
Microsoft Word 2013 SP1
Microsoft Word 2013 RT SP1
Betroffene Plattformen:
Apple Mac OS
Microsoft Windows
Microsoft Windows RT
Microsoft schließt mehrere Schwachstellen in seinen Office Produkten, die
einem entfernten, nicht authentifizierten Angreifer die Ausführung von
beliebigem Programmcode mit Benutzerrechten ermöglichen.
Patch:
Microsoft Security Bulletin MS14-083 (Excel)
https://technet.microsoft.com/de-de/library/security/MS14-083
Patch:
Microsoft Sicherheitshinweise MS14-081 (Word und Office Web Apps)
https://technet.microsoft.com/de-de/library/security/ms14-081
Patch:
Microsoft Sicherheitshinweise MS14-082 (Office)
https://technet.microsoft.com/de-de/library/security/ms14-082
CVE-2014-6364: Use-after-free-Schwachstelle in MS Office ermöglicht
Ausführung von beliebigem Programmcode
Bei der Verarbeitung von präparierten Office Dokumenten kommt es dazu, dass
Word Objekte im Speicher nicht richtig verarbeitet werden und Zugriffe auf
Objekte erfolgen, die vom System schon freigegeben wurden. Ein entfernter,
nicht authentifizierter Angreifer kann beliebigen Programmcode ausführen.
CVE-2014-6361: Fehlerhafter Objektzeiger in MS Excel ermöglicht Ausführung
von beliebigem Programmcode
Eine Schwachstelle in der Speicherverwaltung von Excel führt dazu, dass bei
der Analyse einer präparierten Office Datei fehlerhafte Objektzeiger
verwendet werden. Dadurch kommt es zu Speicherbeschädigungen, die das
Ausführen von beliebigem Programmcode ermöglichen. Ein entfernter, nicht
authentifizierter Angreifer kann durch das Ausnutzen der Schwachstelle
beliebigen Programmcode mit den Rechten des Benutzers ausführen.
CVE-2014-6360: Schwachstelle in MS Excel ermöglicht Ausführung von
beliebigem Programmcode
Eine Schwachstelle in der Verarbeitung von Objekten im Speicher durch Excel
führt dazu, dass es bei der Verarbeitung von präparierten Office Dateien zu
Fehlern in der Speicherverwaltung kommt, durch die beliebiger Programmcode
zur Ausführung gebracht werden kann. Ein entfernter, nicht authentifizierter
Angreifer kann beliebigen Programmcode mit den Rechten des Benutzers
ausführen.
CVE-2014-6357: Use-after-free-Schwachstelle in MS Word ermöglicht Ausführen
von beliebigem Programmcode
Microsoft Word verarbeitet Objekte im Speicher, während speziell gestaltete
Office-Dateien analysiert werden. Dadurch kann der Systemspeicher beschädigt
werden, wodurch es möglich wird, beliebigen Programmcode auszuführen. Ein
entfernter, nicht authentifizierter Angreifer kann beliebigen Programmcode
mit den Rechten des Benutzers ausführen.
CVE-2014-6356: Ungültiger Index in MS Office ermöglicht Ausführung von
beliebigem Programmcode
Microsoft Word verarbeitet Objekte im Speicher, während speziell gestaltete
Office-Dateien analysiert werden. Dadurch kann der Systemspeicher beschädigt
werden, wodurch es möglich wird, beliebigen Programmcode auszuführen. Ein
entfernter, nicht authentifizierter Angreifer kann beliebigen Programmcode
mit den Rechten des Benutzers ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1621/
Microsoft Security Bulletin MS14-083 (Excel):
https://technet.microsoft.com/de-de/library/security/MS14-083
Microsoft Sicherheitshinweise MS14-081 (Word und Office Web Apps):
https://technet.microsoft.com/de-de/library/security/ms14-081
Microsoft Sicherheitshinweise MS14-082 (Office):
https://technet.microsoft.com/de-de/library/security/ms14-082
Schwachstelle CVE-2014-6356 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6356
Schwachstelle CVE-2014-6357 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6357
Schwachstelle CVE-2014-6360 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6360
Schwachstelle CVE-2014-6361 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6361
Schwachstelle CVE-2014-6364 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6364
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
