UPDATE: DFN-CERT-2013-1759 Schwachstellen im Microsoft SharePoint-Server [Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (09.10.2013):
Neues Advisory
Version 1 (09.10.2013):
Neues Advisory

Betroffene Software:

Microsoft Excel <= 2007 Sp3 Microsoft Excel <= 2010 Sp1 Microsoft Excel <= 2010 Sp2 X86 Microsoft Excel <= 2013 Microsoft Office <= 2007 Sp3 Microsoft Office <= 2010 Sp1 Microsoft Office <= 2010 Sp1 X64 Microsoft Office <= 2010 Sp1 X86 Microsoft Office <= 2010 Sp2 Microsoft Office <= 2010 Sp2 x64 Microsoft Office <= 2010 Sp2 x86 Microsoft Office <= 2013 Microsoft Office Web Apps <= 2010 Microsoft Office Web Apps <= 2010 Sp1 Microsoft Office Web Apps <= 2010 Sp2 Microsoft Sharepoint Foundation <= 2010 Sp1 Microsoft Sharepoint Foundation <= 2010 Sp2 Microsoft Sharepoint Foundation <= 2013 Microsoft Sharepoint Server <= 2007 Sp3 Microsoft Sharepoint Server <= 2010 Sp1 Microsoft Sharepoint Server <= 2010 Sp2 Microsoft Sharepoint Server <= 2013 Betroffene Plattformen: Windows Ein Angreifer kann diese Schwachstellen ausnutzen, um Code mit den Rechten des Benutzers auszuführen. Patch: Microsoft Hersteller-Advisory MS13-084 http://technet.microsoft.com/de-de/security/bulletin/MS13-084

CVE-2013-3895: Schwachstelle in Microsoft SharePoint erlaubt Clickjacking

In Microsoft SharePoint befindet sich eine Schwachstelle, die es einem
Angreifer ermöglicht, Inhalte von SharePoint-Seiten so mit anderen Inhalten
zu überlagern, das der Benutzer dazu gebracht wird, andere Aktionen als
beabsichtigt auszuführen (Clickjacking). Dadurch kann der Angreifer auf der
SharePoint-Seite Aktionen mit den Privilegien des betroffenen Benutzers
(Privilegieneskalation) oder beliebigen Scriptcode im Browser des Benutzers
ausführen (Cross-site Scripting). Der betroffene Benutzer muss auf der
SharePoint-Seite eingeloggt sein, damit die Schwachstelle ausgenutzt werden
kann.

CVE-2013-3889: Schwachstelle in MS Excel erlaubt das Überschreiben von
Hauptspeicherinhalten

In Microsoft Excel befindet sich ein Fehler beim Einlesen des Inhalts von
Excel-Dateien. Ein entfernter Angreifer kann diese Schwachstelle dazu
ausnutzen, beliebigen Code mit den Rechten des Excel-Benutzers auszuführen,
indem er ihn dazu bringt, eine entsprechend manipulierte Exel-Datei zu
öffnen. Diese Schwachstelle ist auch im Kontext von SharePoint-Servern
(Excel Services) relevant.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1759/

Microsoft Hersteller-Advisory MS13-084:
http://technet.microsoft.com/de-de/security/bulletin/MS13-084

Schwachstelle CVE-2013-3889 (NVD):
http://nvd.nist.gov/nvd.cfm?cvename=CVE-2013-3889

Schwachstelle CVE-2013-3895 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-3895