DFN-CERT-2017-2029 Microsoft Office, Office-Produkte und -Dienste: Mehrere Schwachstellen ermöglichen u.a. die komplette Systemübernahme [Apple][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Microsoft Excel 2007 SP3
Microsoft Excel 2010 SP2 x64
Microsoft Excel 2010 SP2 x86
Microsoft Excel 2013 RT SP1
Microsoft Excel 2013 SP1 x64
Microsoft Excel 2013 SP1 x86
Microsoft Excel 2016 Mac OS
Microsoft Excel 2016 x64
Microsoft Excel 2016 x86
Microsoft Excel Viewer 2007 SP3
Microsoft Office 2007 SP3
Microsoft Office 2010 SP2 x64
Microsoft Office 2010 SP2 x86
Microsoft Office 2013 SP1 x64
Microsoft Office 2013 SP1 x86
Microsoft Office 2016 x64
Microsoft Office 2016 x86
Microsoft Office Compatibility Pack SP3
Microsoft Project Server 2013 Sp1
Microsoft Sharepoint Server Enterprise 2016
Microsoft Word 2007 SP3
Microsoft Word 2010 SP2 x64
Microsoft Word 2010 SP2 x86

Betroffene Plattformen:

Apple macOS
Microsoft Windows
Microsoft Windows RT

Mehrere Schwachstellen in Office sowie Excel ermöglichen einem entfernten,
nicht authentifizierten Angreifer beliebigen Programmcode mit den Rechten
des angemeldeten Benutzers zur Ausführung zu bringen und, abhängig von
dessen Rechten, möglicherweise die vollständige Kontrolle über das
betroffene System zu erlangen. Zwei weitere Schwachstellen in Microsoft
Project bzw. Excel ermöglichen eine Privilegieneskalation und die Umgehung
von Sicherheitsvorkehrungen.

Die Schwachstellen betreffen verschiedene Versionen von Office,
Office-Komponenten und -Produkten sowie Office-Diensten und Web Apps auf
Windows-Systemen.

Microsoft adressiert diese Schwachstellen im Rahmen der Microsoft November
2017 Sicherheitsupdates. Diese können im Microsoft Security Update Guide
über die Kategorie ‘Microsoft Office’ identifiziert werden. Weiterhin stellt
Microsoft ein Defense-in-Depth-Update für Microsoft Office zur Verfügung
(siehe ADV170020).

Patch:

Microsoft Security Update Guide

https://portal.msrc.microsoft.com/de-de/security-guidance

CVE-2017-11884: Schwachstelle in Microsoft Excel Click-and-Run ermöglicht
Übernahme des Systems

Es besteht eine Schwachstelle in Microsoft Excel Click-and-Run, die auf
einer fehlerhaften Verarbeitung von Objekten im Speicher beruht. Ein
entfernter, nicht authentisierter Angreifer kann die Schwachstelle z.B.
unter Verwendung einer unter seiner Kontrolle befindlichen Webseite dazu
ausnutzen, beliebigen Programmcode mit den Rechten des Anwenders zur
Ausführung zu bringen. Falls der Benutzer über administrative Rechte
verfügt, kann der Angreifer das betroffene System vollständig
kompromittieren.

CVE-2017-11882: Schwachstelle in Microsoft Office ermöglicht Übernahme des
Systems

Es besteht eine Schwachstelle in Microsoft Office, die auf einer
fehlerhaften Verarbeitung von Objekten im Speicher beruht. Ein entfernter,
nicht authentisierter Angreifer kann die Schwachstelle z.B. unter Verwendung
einer unter seiner Kontrolle befindlichen Webseite dazu ausnutzen,
beliebigen Programmcode mit den Rechten des Anwenders zur Ausführung zu
bringen. Falls der Benutzer über administrative Rechte verfügt, kann der
Angreifer das betroffene System vollständig kompromittieren.

CVE-2017-11878: Schwachstelle in Microsoft Excel ermöglicht Übernahme des
Systems

Es besteht eine Schwachstelle in Microsoft Excel, die auf einer fehlerhaften
Verarbeitung von Objekten im Speicher beruht. Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle z.B. unter Verwendung einer
unter seiner Kontrolle befindlichen Webseite dazu ausnutzen, beliebigen
Programmcode mit den Rechten des Anwenders zur Ausführung zu bringen. Falls
der Benutzer über administrative Rechte verfügt, kann der Angreifer das
betroffene System vollständig kompromittieren.

CVE-2017-11877: Schwachstelle in Microsoft Excel ermöglicht Umgehung von
Sicherheitsvorkehrungen

Eine Schwachstelle in Microsoft Excel beruht auf einer fehlerhaften
Durchsetzung von Macro-Einstellungen in einem Dokument. Ein entfernter,
nicht authentisierter Angreifer, dem es gelingt einen Angreifer zum Öffnen
eines von ihm präparierten Excel-Dokumentes zu verleiten, kann in der Folge
Macros ausführen, deren Aufruf unterbunden sein sollte, und somit
Sicherheitsvorkehrungen umgehen.

CVE-2017-11876: Schwachstelle in Microsoft Project Server erlaubt
Privilegieneskalation

Microsoft Project Server enthält eine Schwachstelle, die auf einer
fehlerhaften Verarbeitung von Anwendersitzungen beruht und einen
Cross-Site-Request-Forgery (CSRF)-Angriff ermöglicht. Ein entfernter, nicht
authentisierter Angreifer, dem es gelingt einen authentisierten Anwender auf
eine unter der Kontrolle des Angreifers befindliche Webseite zu locken, kann
die Schwachstelle dazu ausnutzen, Inhalte mit den Rechten des Anwenders zu
lesen, zu löschen oder bösartige Inhalte in den Browser des Anwenders zu
injizieren.

CVE-2017-11854: Schwachstelle in Microsoft Office ermöglicht Übernahme des
Systems

Es besteht eine Schwachstelle in Microsoft Office sowie Microsoft Word, die
auf einer fehlerhaften Verarbeitung von Objekten im Speicher beruht. Ein
entfernter, nicht authentisierter Angreifer kann die Schwachstelle z.B.
unter Verwendung einer unter seiner Kontrolle befindlichen Webseite dazu
ausnutzen, beliebigen Programmcode mit den Rechten des Anwenders zur
Ausführung zu bringen. Falls der Benutzer über administrative Rechte
verfügt, kann der Angreifer das betroffene System vollständig
kompromittieren.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2029/

Microsoft Security Update Guide:
https://portal.msrc.microsoft.com/de-de/security-guidance

Hinweise zum Microsoft Office ‘Defense in Depth’ Update:
https://portal.msrc.microsoft.com/de-DE/security-guidance/advisory/ADV170020

Microsoft Sicherheitsupdates im November 2017:
https://portal.msrc.microsoft.com/de-de/security-guidance/releasenotedetail/bae9d0d8-e497-e711-80e5-000d3a32fc99

Schwachstelle CVE-2017-11854 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11854

Schwachstelle CVE-2017-11876 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11876

Schwachstelle CVE-2017-11877 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11877

Schwachstelle CVE-2017-11878 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11878

Schwachstelle CVE-2017-11882 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11882

Schwachstelle CVE-2017-11884 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11884

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.