Microsoft schließt zwei Dutzend code to be run remotely-Lücken in Office

Was passiert ist

Der Großteil der Patches betrifft Word; für Excel, Outlook, PowerPoint (eine Anspielung auf Saturday Night Live) und SharePoint (eine Stack-Exchange-Seite für SharePoint-Fans) wurden nur wenige Fixes ausgerollt. Neben RCE-Lücken (das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus) hat Microsoft auch mehrere Informationsoffenlegungs-Fehler und ein Problem zur Umgehung von Sicherheitsmechanismen in Office behoben. Microsoft ist ein Software- und Softwareentwicklungsunternehmen mit Sitz in Redmond.

Der Beitrag Microsoft schließt zwei Dutzend RCE-Lücken in Office erschien zuerst auf SecurityWeek.

Schwachstellen

Microsoft schließt zwei Dutzend RCE-Lücken in Office

Neben RCE-Lücken hat Microsoft mehrere Informationsoffenlegungs-Fehler und ein Problem zur Umgehung von Sicherheitsmechanismen in Office behoben.

Die meisten neuen Korrekturen betreffen Sicherheitsfehler in der Office-Suite. Zwei Dutzend davon schließen hochgradig gefährliche Remote-Code-Execution-Lücken (RCE), darunter etwa ein halbes Dutzend Fehler, die über das Vorschaufenster angegriffen werden könnten.

In den meisten Fällen setzt eine Ausnutzung voraus, dass ein Angreifer eine speziell präparierte Datei, etwa ein schadhaftes Dokument, versendet und den Empfänger dazu bringt, sie zu öffnen. Für den Großteil der RCE-Lücken sind Pufferüberläufe verantwortlich, daneben mehrere Fehler vom Typ Off-by-one, Use-after-free, Path Traversal und numerische Trunkierung.

Neben RCE-Lücken hat Microsoft außerdem mehrere Informationsoffenlegungs-Fehler und ein Problem zur Umgehung von Sicherheitsmechanismen in der Office-Suite behoben.

Wichtige Fakten

• In den meisten Fällen setzt eine Ausnutzung voraus, dass ein Angreifer eine speziell präparierte Datei, etwa ein schadhaftes Dokument, versendet und den Empfänger dazu bringt, sie zu öffnen