Microsoft Security Bulletin MS14-083 - Wichtig
Sicherheitsrisiken in Microsoft Excel könnten Remotecodeausführung zulassen (3017347)
Veröffentlicht: 9. Dezember 2014 | Aktualisiert: 10. Februar 2015
Version: 2.0
Kurzfassung
Dieses Sicherheitsupdate behebt zwei privat gemeldete Sicherheitsrisiken in Microsoft Excel. Die Sicherheitsanfälligkeiten könnten Remotecodeausführung ermöglichen, wenn ein Angreifer einen Benutzer davon überzeugt, eine speziell gestaltete Microsoft Excel-Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen oder in der Vorschau anzuzeigen. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausgenutzt hat, könnte dieselben Benutzerrechte wie der aktuelle Benutzer erhalten. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer Programme installieren. Daten anzeigen, ändern oder löschen; oder erstellen Sie neue Konten mit vollständigen Benutzerrechten. Kunden, deren Konten so konfiguriert sind, dass sie weniger Benutzerrechte auf dem System haben, können weniger betroffen sein als Benutzer, die mit Administratorrechten arbeiten.
Dieses Sicherheitsupdate ist für alle unterstützten Editionen von Microsoft Excel 2007, Microsoft Excel 2010, Microsoft Excel 2013, Microsoft Excel 2013 RT, Microsoft Office Excel Viewer und Microsoft Office Compatibility Pack wichtig. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie Microsoft Excel speziell gestaltete Office-Dateien analysiert. Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt "Sicherheitsrisikeninformationen " für die spezifische Sicherheitsanfälligkeit.
Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3017347.
Betroffene Software
Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.
| Microsoft Office Suites und andere Software | Komponente | Maximale Sicherheitswirkung | Bewertung des aggregierten Schweregrads | Ersetzte Updates |
|---|---|---|---|---|
| Microsoft Excel 2007 | ||||
| Microsoft Office 2007 Service Pack 3 | Microsoft Excel 2007 Service Pack 3 (2984942) | Remoteausführung von Code | Wichtig | 2827324 in MS13-085 |
| Microsoft Excel 2010 | ||||
| Microsoft Office 2010 Service Pack 2 (32-Bit-Editionen) | Microsoft Excel 2010 Service Pack 2 (32-Bit-Editionen) (2910902) | Remoteausführung von Code | Wichtig | 2826033 in MS13-085 |
| Microsoft Office 2010 Service Pack 2 (64-Bit-Editionen) | Microsoft Excel 2010 Service Pack 2 (64-Bit-Editionen) (2910902) | Remoteausführung von Code | Wichtig | 2826033 in MS13-085 |
| Microsoft Excel 2013 und Microsoft Excel 2013 RT | ||||
| Microsoft Office 2013 (32-Bit-Editionen) | Microsoft Excel 2013 (32-Bit-Editionen) (2910929) | Remoteausführung von Code | Wichtig | 2827238 in MS13-085 |
| Microsoft Office 2013 (64-Bit-Editionen) | Microsoft Excel 2013 (64-Bit-Editionen) (2910929) | Remoteausführung von Code | Wichtig | 2827238 in MS13-085 |
| Microsoft Office 2013 Service Pack 1 (32-Bit-Editionen) | Microsoft Excel 2013 Service Pack 1 (32-Bit-Editionen) (2910929) | Remoteausführung von Code | Wichtig | 2827238 in MS13-085 |
| Microsoft Office 2013 Service Pack 1 (64-Bit-Editionen) | Microsoft Excel 2013 Service Pack 1 (64-Bit-Editionen) (2910929) | Remoteausführung von Code | Wichtig | 2827238 in MS13-085 |
| Microsoft Office 2013 RT | Microsoft Excel 2013 RT (2910929)[1] | Remoteausführung von Code | Wichtig | 2827238 in MS13-085 |
| Microsoft Office 2013 RT Service Pack 1 | Microsoft Excel 2013 RT Service Pack 1 (2910929)[1] | Remoteausführung von Code | Wichtig | 2827238 in MS13-085 |
| Andere Office-Software | ||||
| Microsoft Excel Viewer[2](2920791) | Nicht zutreffend | Remoteausführung von Code | Wichtig | 2827328 in MS13-085 |
| Microsoft Office Compatibility Pack Service Pack 3 (2920790) | Nicht zutreffend | Remoteausführung von Code | Wichtig | 2827326 in MS13-085 |
[1]Dieses Update ist über Windows Update verfügbar.
[2]Dieses Update behebt auch eine sicherheitsanfälligkeit, die in MS15-012 erörtert wird, die gleichzeitig mit dieser Erneutveröffentlichung veröffentlicht wird. Beachten Sie, dass die Fixes für die Sicherheitsanfälligkeiten in beiden Bulletins in einem einzigen Updatepaket enthalten sind.
Schweregradbewertungen und Sicherheitslücken-IDs
Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung im Dezember.
| Bewertung des Schweregrads der Sicherheitsanfälligkeit und maximale Sicherheitsbeeinträchtigung durch betroffene Software | |||
|---|---|---|---|
| Betroffene Software | Globale kostenlose Remotecodeausführung in Excel – CVE-2014-6360 | Sicherheitsanfälligkeit in Excel Bezüglich remotecodeausführung ungültiger Zeiger – CVE-2014-6361 | Bewertung des aggregierten Schweregrads |
| Microsoft Excel 2007 | |||
| Microsoft Excel 2007 Service Pack 3 | Wichtig \ Remotecodeausführung | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Excel 2010 | |||
| Microsoft Excel 2010 Service Pack 2 (32-Bit-Editionen) | Wichtig \ Remotecodeausführung | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Excel 2010 Service Pack 2 (64-Bit-Editionen) | Wichtig \ Remotecodeausführung | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Excel 2013 und Microsoft Excel 2013 RT | |||
| Microsoft Excel 2013 (32-Bit-Editionen) | Nicht zutreffend | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Excel 2013 Service Pack 1 (32-Bit-Editionen) | Nicht zutreffend | Wichtig \ Remotecodeausführung | Wichtig |
| Microsoft Excel 2013 (64-Bit-Editionen) | Nicht zutreffend | Wichtig\ Remotecodeausführung | Wichtig |
| Microsoft Excel 2013 Service Pack 1 (64-Bit-Editionen) | Nicht zutreffend | Wichtig\ Remotecodeausführung | Wichtig |
| Microsoft Excel 2013 RT | Nicht zutreffend | Wichtig\ Remotecodeausführung | Wichtig |
| Microsoft Excel 2013 RT Service Pack 1 | Nicht zutreffend | Wichtig \ Remotecodeausführung | Wichtig |
| Andere Office-Software | |||
| Microsoft Excel Viewer | Wichtig \ Remotecodeausführung | Nicht zutreffend | Wichtig |
| Microsoft Office Compatibility Pack | Wichtige Remotecodeausführung | Wichtige Remotecodeausführung | Wichtig |
Informationen zu Sicherheitsrisiken
Globale kostenlose Remotecodeausführung in Excel – CVE-2014-6360
Eine Sicherheitsanfälligkeit in Remotecodeausführung besteht darin, wie Microsoft Excel Objekte im Arbeitsspeicher nicht ordnungsgemäß verarbeitet, während speziell gestaltete Office-Dateien analysiert werden. Der Systemspeicher kann so beschädigt sein, dass ein Angreifer beliebigen Code ausführen kann. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer die vollständige Kontrolle über das betroffene System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.
Systeme, bei denen betroffene Microsoft Excel-Software verwendet wird, einschließlich Arbeitsstationen und Terminalservern, sind in erster Linie gefährdet. Server sind möglicherweise riskanter, wenn Administratoren benutzern erlauben, sich bei Servern anzumelden und Programme auszuführen. Bewährte Methoden raten jedoch dringend davon ab, dies zuzulassen. Die Nutzung dieser Sicherheitsanfälligkeit erfordert, dass ein Benutzer eine speziell gestaltete Datei mit einer betroffenen Version von Microsoft Office-Software öffnet.
In einem E-Mail-Angriffsszenario könnte ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Datei an den Benutzer sendet und den Benutzer dazu überzeugen kann, die Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen. In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, die eine Datei enthält, die verwendet wird, um die Sicherheitsanfälligkeit auszunutzen. Außerdem könnten kompromittierte Websites und Websites, die vom Benutzer bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. Ein Angreifer hätte keine Möglichkeit, Benutzer zu erzwingen, eine speziell gestaltete Website zu besuchen. Stattdessen müsste ein Angreifer sie davon überzeugen, die Website zu besuchen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die sie zur Website des Angreifers führt, und dann davon überzeugen, die speziell gestaltete Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen.
Dieses Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft Excel speziell gestaltete Dateien analysiert. Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ausgestellt wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.
Mildernde Faktoren
Die folgenden mildernden Faktoren können in Ihrer Situation hilfreich sein:
- Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.
- Die Sicherheitsanfälligkeit kann nicht automatisch per E-Mail ausgenutzt werden. Damit ein Angriff erfolgreich ist, muss ein Benutzer eine Anlage öffnen, die in einer E-Mail-Nachricht gesendet wird.
- In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, die eine Datei enthält, die verwendet wird, um die Sicherheitsanfälligkeit auszunutzen. Außerdem könnten kompromittierte Websites und Websites, die vom Benutzer bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. Ein Angreifer hätte keine Möglichkeit, Benutzer zu erzwingen, eine speziell gestaltete Website zu besuchen. Stattdessen müsste ein Angreifer sie davon überzeugen, die Website zu besuchen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die sie zur Website des Angreifers führt, und dann davon überzeugen, die speziell gestaltete Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.
Sicherheitsanfälligkeit in Excel Bezüglich remotecodeausführung ungültiger Zeiger – CVE-2014-6361
Eine Sicherheitsanfälligkeit in Remotecodeausführung besteht darin, wie Microsoft Excel Objekte im Arbeitsspeicher nicht ordnungsgemäß verarbeitet, während speziell gestaltete Office-Dateien analysiert werden. Der Systemspeicher kann so beschädigt sein, dass ein Angreifer beliebigen Code ausführen kann. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Wenn der aktuelle Benutzer mit Administratorrechten angemeldet ist, kann ein Angreifer die vollständige Kontrolle über das betroffene System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern, oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten anlegen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten. Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ausgestellt wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.
Systeme, bei denen betroffene Microsoft Excel-Software verwendet wird, einschließlich Arbeitsstationen und Terminalservern, sind in erster Linie gefährdet. Server sind möglicherweise riskanter, wenn Administratoren benutzern erlauben, sich bei Servern anzumelden und Programme auszuführen. Bewährte Methoden raten jedoch dringend davon ab, dies zuzulassen. Die Nutzung dieser Sicherheitsanfälligkeit erfordert, dass ein Benutzer eine speziell gestaltete Datei mit einer betroffenen Version von Microsoft Office-Software öffnet.
In einem E-Mail-Angriffsszenario könnte ein Angreifer die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Datei an den Benutzer sendet und den Benutzer dazu überzeugen kann, die Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen. In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, die eine Datei enthält, die verwendet wird, um die Sicherheitsanfälligkeit auszunutzen. Außerdem könnten kompromittierte Websites und Websites, die vom Benutzer bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. Ein Angreifer hätte keine Möglichkeit, Benutzer zu erzwingen, eine speziell gestaltete Website zu besuchen. Stattdessen müsste ein Angreifer sie davon überzeugen, die Website zu besuchen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die sie zur Website des Angreifers führt, und dann davon überzeugen, die speziell gestaltete Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen.
Dieses Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie Microsoft Excel speziell gestaltete Dateien analysiert. Microsoft hat Informationen zu dieser Sicherheitsanfälligkeit durch koordinierte Offenlegung von Sicherheitsrisiken erhalten. Als dieses Sicherheitsbulletin ausgestellt wurde, hatte Microsoft keine Informationen erhalten, um anzugeben, dass diese Sicherheitsanfälligkeit öffentlich für Angriffe auf Kunden verwendet wurde.
Mildernde Faktoren
Die folgenden mildernden Faktoren können in Ihrer Situation hilfreich sein:
- Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Für Benutzer, deren Konten mit weniger Benutzerrechten im System konfiguriert sind, sind die Auswirkungen normalerweise geringer als für Benutzer, die mit Administratorrechten arbeiten.
- Die Sicherheitsanfälligkeit kann nicht automatisch per E-Mail ausgenutzt werden. Damit ein Angriff erfolgreich ist, muss ein Benutzer eine Anlage öffnen, die in einer E-Mail-Nachricht gesendet wird.
- In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten, die eine Datei enthält, die verwendet wird, um die Sicherheitsanfälligkeit auszunutzen. Außerdem könnten kompromittierte Websites und Websites, die vom Benutzer bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die diese Sicherheitsanfälligkeit ausnutzen könnten. Ein Angreifer hätte keine Möglichkeit, Benutzer zu erzwingen, eine speziell gestaltete Website zu besuchen. Stattdessen müsste ein Angreifer sie davon überzeugen, die Website zu besuchen, in der Regel durch Klicken auf einen Link in einer E-Mail- oder Instant Messenger-Nachricht, die sie zur Website des Angreifers führt, und dann davon überzeugen, die speziell gestaltete Datei in einer betroffenen Version von Microsoft Office-Software zu öffnen.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.
Bereitstellung von Sicherheitsupdates
Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.
Danksagungen
Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".
Haftungsausschluss
Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.
Revisionen
- V1.0 (9. Dezember 2014): Bulletin veröffentlicht.
- V2.0 (10. Februar 2015): Bulletin wurde erneut veröffentlicht, um die Verfügbarkeit eines zusätzlichen Updatepakets für Microsoft Excel Viewer (2920791) bekanntzugeben, das die in diesem Bulletin erläuterten Sicherheitsrisiken behebt. Beachten Sie, dass das 2920791 Update auch eine Sicherheitsanfälligkeit behandelt, die in MS15-012 behandelt wird, die gleichzeitig veröffentlicht wird. Microsoft empfiehlt Kunden, die Microsoft Excel Viewer ausführen, das 2920791 Update möglichst bald anzuwenden. Weitere Informationen finden Sie in der Tabelle "Betroffene Software" für den Downloadlink.
Seite generiert 2015-02-10 8:19Z-08:00.