Sicherheitsbulletin

Microsoft Security Bulletin MS02-059 – Moderat

Fehler in Word-Feldern und externen Excel-Updates könnten zur Offenlegung von Informationen (Q330008) führen.

Veröffentlicht: 16. Oktober 2002 | Aktualisiert: 24. Juli 2003

Version: 1.2

Ursprünglich gepostet: 16. Oktober 2002

Aktualisiert: 24. Juli 2003

Zusammenfassung

Wer sollte dieses Bulletin lesen: Kunden, die Microsoft® Word oder Microsoft® Excel verwenden.

Auswirkungen der Sicherheitsanfälligkeit: Offenlegung von Informationen

Maximale Schweregradbewertung: Moderat

Empfehlung: Kunden, die Word oder Excel verwenden, sollten die Patches anwenden.

Betroffene Software:

  • Microsoft Word 2002

  • Microsoft Word 2000

  • Microsoft Word 97

  • Microsoft Word 98(J)

  • Microsoft Word X für Macintosh

  • Microsoft Word 2001 für Macintosh

  • Microsoft Word 98 für Macintosh

  • Microsoft Excel 2002

Allgemeine Informationen

Technische Details

Technische Beschreibung:

Word und Excel bieten einen Mechanismus, über den Daten aus einem Dokument in ein anderes Dokument eingefügt und aktualisiert werden können. Dieser Mechanismus, der in Word und externen Updates in Excel als Feldfunktionen bezeichnet wird, kann automatisiert werden, um den manuellen Aufwand zu verringern, der von einem Benutzer benötigt wird. Ein Beispiel für die Verwendung von Word-Feldfunktionen könnte das automatische Einfügen eines Standardmäßigen Haftungsausschlussabsatzs in ein rechtliches Dokument sein. Ein Beispiel für die Verwendung externer Updates in Excel könnte die automatische Aktualisierung eines Diagramms in einer Kalkulationstabelle sein, indem Daten in einer anderen Kalkulationstabelle verwendet werden.

Eine Sicherheitsanfälligkeit ist vorhanden, da es möglich ist, Feldfunktionen und externe Updates böswillig zu verwenden, um Informationen von einem Benutzer zu stehlen, ohne dass der Benutzer sich bewusst ist. Bestimmte Ereignisse können die Aktualisierung von Feldcode und externer Aktualisierung auslösen, z. B. das Speichern eines Dokuments oder das manuelle Aktualisieren der Verknüpfungen durch den Benutzer. Normalerweise würde der Benutzer diese Aktualisierungen kennen, aber eine speziell gestaltete Feldfunktion oder externe Aktualisierung kann verwendet werden, um ein Update ohne Angabe für den Benutzer auszulösen. Dadurch kann ein Angreifer ein Dokument erstellen, das sich beim Öffnen selbst aktualisieren würde, um den Inhalt einer Datei vom lokalen Computer des Benutzers einzuschließen.

Damit ein Angreifer diese Sicherheitsanfälligkeit nutzen kann, muss der Angreifer die folgenden Schritte ausführen:

  • Erstellen eines Word- oder Excel-Dokuments, das die Sicherheitsanfälligkeit ausnutzt
  • Übermitteln sie dem Benutzer per E-Mail oder einer anderen Methode
  • Benutzer zum Öffnen des Dokuments verleiten
  • Geben Sie das Dokument an den Angreifer zurück. (Microsoft ist sich eines Falls bewusst, in dem es für den Benutzer nicht erforderlich wäre, dies zu tun. Es gibt eine Methode, über die das Dokument des Angreifers Informationen direkt an eine Website posten könnte, aber es würde nur die erste Zeile der Datei senden lassen)

Mildernde Faktoren:

  • Der Angreifer müsste den Speicherort der Datei kennen, die er stehlen wollte. Wenn der richtige Dateiname nicht angezeigt wurde, schlägt der Angriff fehl, und eine ungültige Feldfehlermeldung ist im Dokument vorhanden.
  • Der Benutzer konnte die Feldfunktionen oder externe Aktualisierungen immer anzeigen. Die Feldfunktionen oder externen Aktualisierungen, die im Angriff verwendet werden, können offengelegt werden, da sie nur ausgeblendet sind, um zu verhindern, dass das Dokument überladen wird, wenn es angezeigt oder bearbeitet wird. Eine Methode zum Überprüfen von Dokumenten auf zusätzliche unerwünschte Informationen wird in den nachstehenden häufig gestellten Fragen beschrieben.
  • Obwohl der Angreifer einige Schritte unternehmen könnte, um die gestohlenen Informationen zu verdecken, würde der Angreifer einen klaren Überwachungspfad hinterlassen. Da die Feldfunktionen oder externen Updates angezeigt werden können, auch wenn ein Angriff erfolgreich ist, würde der Angreifer klare Beweise in dem Dokument in Form der gestohlenen Informationen und der verwendeten schädlichen Feldfunktionen hinterlassen. Diese Beweise könnten von Strafverfolgungsbehörden verwendet werden, falls erforderlich
  • Die Sicherheitsanfälligkeit würde es dem Angreifer nicht ermöglichen, Dateien im lokalen System des Benutzers zu löschen, zu ändern oder hinzuzufügen.
  • Unter praktisch allen Umständen müsste der Angreifer den Benutzer dazu verleiten, das Dokument zurückzugeben. Es werden keine Informationen angezeigt, es sei denn, der Benutzer hat das Dokument an den Angreifer zurückgegeben.

Schweregradbewertung:

Internetserver Intranetserver Clientsysteme
Word (alle Versionen) Keine Keine Mittel
Excel 2002 Keine Keine Mittel

Die oben genannte Bewertung basiert auf den Typen von Systemen, die von der Sicherheitsanfälligkeit betroffen sind, ihren typischen Bereitstellungsmustern und der Auswirkung, dass sie die Sicherheitsanfälligkeit ausnutzen würden.

Sicherheitsrisikobezeichner:CAN-2002-1143

Getestete Versionen:

Microsoft hat Word 2002, Word 2000, Word 98(J), Word 97, Word X für Macintosh, Word 2001 für Macintosh, Word 98 für Macintosh, Excel 2002, Excel 2000, Excel 97, Excel X für Macintosh, Excel 2001 für Macintosh und Excel 98 für Macintosh getestet, um zu beurteilen, ob sie von diesen Sicherheitsrisiken betroffen sind. Frühere Versionen werden nicht mehr unterstützt und können von diesen Sicherheitsrisiken betroffen sein.

Häufig gestellte Fragen

Was ist der Umfang der Sicherheitsanfälligkeit?
Diese Sicherheitsanfälligkeit könnte es einem Angreifer ermöglichen, ein Dokument zu erstellen, mit dem der Inhalt eines Dokuments gestohlen werden kann, auf das ein anderer Benutzer zugreifen kann. Unter nahezu allen Umständen wäre es nicht möglich, dass ein Angreifer die Sicherheitsanfälligkeit ausnutzen kann, ohne dass der Benutzer beteiligt ist. Damit ein Angreifer diese Sicherheitsanfälligkeit nutzen kann, müsste der Angreifer ein bösartiges Word- oder Excel-Dokument erstellen, dem Benutzer (per E-Mail oder anderen Mitteln) übermitteln und dann den Benutzer dazu verleiten, das Dokument zurückzugeben. Sogar ein erfolgreicher Angriff würde sagenhafte Beweise hinterlassen, die die Strafverfolgung bei der Identifizierung des Angreifers unterstützen könnten.

Welche Produkte wirken sich darauf aus?
Das Problem betrifft alle Versionen von Word, einschließlich der Verwendung von Word als E-Mail-Editor von Microsoft Outlook. Excel 2002 ist ebenfalls betroffen.

Was verursacht die Sicherheitsanfälligkeit?
Standardmäßig können Feldfunktionen und externe Aktualisierungen verwendet werden, um Daten aus anderen Quellen in Word-Dokumente und Excel-Tabellenkalkulation einzufügen. Normalerweise ist der Benutzer über diese Updates informiert. Ein Fehler in der Art und Weise, wie Feldfunktionen und externe Aktualisierungen implementiert werden, könnte es jedoch ermöglichen, eine schädliche Feldfunktion oder externe Aktualisierungen zu erstellen, die beim Öffnen des Dokuments oder der Kalkulationstabelle automatisch aktualisiert werden, ohne dass der Benutzer sich bewusst ist.

Was sind Feldfunktionen und externe Updates?
Feldfunktionen und externe Aktualisierungen sind Methoden zum Automatisieren des Einfügens von Daten in ein Dokument. Feldfunktionen werden z. B. häufig in einem Word-Dokument verwendet, um das Datum oder die Seitenzahl automatisch einzufügen. Externe Updates in Excel sind ähnlich und können beispielsweise verwendet werden, um Daten aus einer Excel-Tabelle automatisch in eine andere einzufügen. Feldfunktionen und externe Aktualisierungen werden in der Regel während der normalen Dokumentbearbeitung ausgeblendet, sodass die Ansicht des Benutzers nicht überladen wird. Sie können jedoch bei Bedarf offengelegt und geprüft werden. Feldfunktionen und externe Verknüpfungen können in einem Dokument nicht dauerhaft ausgeblendet werden, soweit sie später nicht angezeigt werden können.

Was ist mit der Art und Weise, wie Word-Feldfunktionen und externe Excel-Updates implementiert werden, falsch?
Standardmäßig können Feldfunktionen und externe Updates Automatisch Informationen aus externen Quellen einfügen und aktualisieren, einschließlich Datendateien im System des Benutzers. Dies ist normalerweise legitime Automatisierung im Namen des Benutzers. Es besteht jedoch ein Fehler, da dieses Updateverhalten bearbeitet werden kann, sodass eine ausgeblendete Feldfunktion eine Aktualisierung ausführen kann, ohne dass der Benutzer sich bewusst ist. Dies kann verwendet werden, um Informationen aus dem Dokument eines Benutzers in das Dokument des Angreifers einzufügen, ohne dass der Benutzer sich bewusst ist.

Was könnte diese Sicherheitsanfälligkeit einem Angreifer ermöglichen?
Die Sicherheitsanfälligkeit könnte es dem Angreifer ermöglichen, den Inhalt des Dokuments eines Benutzers zu stehlen, ohne dass der Benutzer sich bewusst ist.

Wie kann ein Angreifer diese Sicherheitsanfälligkeit ausnutzen?
Es gibt eine Reihe von Schritten, die ein Angreifer ausführen muss, um einen erfolgreichen Angriff auszuführen:

  • Der Angreifer müsste ein spezielles Word- oder Excel-Dokument erstellen, das speziell gestaltete Word-Felder oder externe Excel-Updates enthielt. Diese Feldfunktionen oder externe Updates müssten auf den genauen Namen und Speicherort der Datei verweisen, die der Angreifer stehlen wollte.
  • Der Angreifer müsste das Dokument dann per E-Mail oder anderen Mitteln an den Benutzer übermitteln und den Benutzer davon überzeugen, es zu öffnen.
  • Nach dem Schließen des Dokuments müsste der Benutzer das Dokument an den Angreifer zurückgeben. (Es gibt einen Nischenfall, der unten erläutert wird, in dem dies nicht notwendig wäre)

Was ist der Fall, in dem der Benutzer das Dokument des Angreifers nicht zurückgeben müsste?
Es gibt ein begrenztes Szenario, in dem ein Angreifer eine Feldfunktion verwenden kann, um Daten direkt an eine Website unter der Kontrolle des Angreifers zu senden. Obwohl in diesem Szenario die Notwendigkeit beseitigt wird, dass der Benutzer das Dokument des Angreifers zurückgeben kann, unterliegt es einem erheblichen Nachteil – es könnte nur verwendet werden, um die erste Zeile aus der Datei des Benutzers abzurufen.

Wie ist Microsoft Outlook betroffen?
Microsoft Outlook selbst ist nicht betroffen. Outlook 2002 verwendet Word jedoch standardmäßig als E-Mail-Editor. Outlook 2000 und Outlook 97 können so konfiguriert werden, dass Word als E-Mail-Editor verwendet wird. Microsoft Outlook für Mac intosh verwendet Word nicht als E-Mail-Editor. Wenn Word als Outlook-E-Mail-Editor verwendet wird, wird eine E-Mail-Nachricht als Dokument behandelt. Der in diesem Bulletin beschriebene Word-Patch korrigiert dieses Problem, ob Word separat oder in Verbindung mit Outlook verwendet wird.

Könnte diese Sicherheitsanfälligkeit verwendet werden, um ein digital signiertes Dokument zu schmieden?
Nein, die Signatur wird ungültig, sobald das böswillig gestaltete Dokument geöffnet wurde. Dies wäre aus der Überprüfung der digitalen Signatur ersichtlich. Im Microsoft Knowledge Base-Artikel Q329228 wird erläutert, wie Sie eine digitale Signatur in einem Office-Dokument überprüfen.

Gibt es eine Möglichkeit zu sehen, was ein Angreifer möglicherweise gestohlen hat?
Ja, es gibt. Es ist wichtig zu verstehen, dass der Inhalt des gestohlenen Dokuments nicht unsichtbar wird. Der Angreifer kann den Inhalt des gestohlenen Dokuments verdecken, aber der Inhalt wird weiterhin angezeigt, wenn alle Feldfunktionen eingeblendet werden und das Dokument geprüft wird. Die gestohlenen Inhalte können nicht unwiderruflich ausgeblendet werden. Feldfunktionen und externe Updates können verfügbar gemacht werden, indem Sie die folgenden Menüoptionen auswählen:

  • Word 2002, 2000, 97, 98(J): Tools|Optionen|Zeigen Sie dann das Feld "Feldfunktionen" an.
  • Word X, 2001 für Macintosh: Bearbeiten|Einstellungen|Zeigen Sie dann das Feld "Feldfunktionen" an.
  • Word 98 für Macintosh: Tools|Einstellungen|Zeigen Sie dann das Feld "Feldfunktionen" an.
  • Excel 2002: Tools|Optionen|Ansicht|Formeln

Diese Beweise, die immer vorhanden sein werden, könnten bei Bedarf verwendet werden, um disziplinarische oder rechtliche Maßnahmen gegen einen Angreifer zu verfolgen.

Wie kann ich alle zusätzlichen Daten entfernen, die in einem Word- oder Excel-Dokument vorhanden sind?
Im Microsoft Knowledge Base-Artikel Q223396 wird erläutert, wie Sie nach zusätzlichen Daten aus Office-Dokumenten suchen und entfernen.

Kann ich meine E-Mail in Outlook mit Nur-Text lesen?
Diese Funktion wurde in Office XP SP1 eingeführt. Microsoft Knowledge Base-Artikel Q307594 beschreibt, wie dies zu tun ist.

Was tun die Patches?
Das Word-Patch ändert das Standardverhalten in Word, um zu verhindern, dass diese Felder, die Daten aus Quellen außerhalb des aktuellen Dokuments einfügen, automatisch aktualisiert werden, ohne dass eine direkte Benutzerinteraktion eine solche Aktualisierung für diese Felder erzwingt. Dadurch erhält der Benutzer die Kontrolle darüber, ob das Update fortgesetzt werden darf. Der Excel 2002-Patch fordert den Benutzer in einer Situation auf, in der Excel 2002 die Berechtigung des Benutzers zum Aktualisieren externer Updates nicht anfordert.

Ich bin Netzwerkadministrator und ich möchte den Patch für meine Benutzer bereitstellen, anstatt sie auf der OfficeUpdate-Website zu besuchen. Gibt es eine Möglichkeit, dies zu tun?
Ich bin Netzwerkadministrator und ich möchte den Patch für meine Benutzer bereitstellen, anstatt sie auf der OfficeUpdate-Website zu besuchen. Gibt es eine Möglichkeit, dies zu tun? Ja. Es ist ein administratortechnisches Update verfügbar, mit dem Sie dies tun können. Um das Administratorupdate herunterzuladen, besuchen Sie einfach den Downloadspeicherort für die entsprechende Version von Word und Excel. Links zum Administrativen Update werden auf den Downloadseiten bereitgestellt.

Patch-Verfügbarkeit

Downloadspeicherorte für diesen Patch

Weitere Informationen zu diesem Patch

Installationsplattformen:

  • Der Word 2002-Patch kann auf Systemen mit Word 2002 mit Office XP Service Pack 2 installiert werden. (Das Verwaltungsupdate kann auch auf Systemen installiert werden, auf denen Office 2002 Service Pack 1 ausgeführt wird).
  • Der Word 2000-Patch kann auf Systemen mit Word 2000 mit Office 2000 Service Release 1 oder Service Pack 2 installiert werden.
  • Der Word 98(J)-Patch kann auf Systemen installiert werden, auf denen Microsoft Word 98(J) Gold oder eine beliebige Word 98(J)-Dienstversion ausgeführt wird, aber nur auf Word 98(J) Service Release 2b unterstützt wird.
  • Der Word 97-Patch kann auf Systemen installiert werden, auf denen Microsoft Word 97 Gold oder eine beliebige Word 97-Dienstversion ausgeführt wird, aber nur auf Word 97 Service Release 2b unterstützt wird.
  • Der Word X für Macintosh-Patch kann auf Systemen installiert werden, auf denen die neueste Version von Office v.X ausgeführt wird. Um die neueste Version von Office zu ermitteln, schauen Sie sich "/https:>https" an<:
  • Der Word 2001 für Macintosh-Patch kann auf Systemen installiert werden, auf denen die neueste Version von Office 2001 ausgeführt wird. Um die neueste Version von Office zu ermitteln, schauen Sie sich "/https:>https" an<:
  • Der Word 98 für Macintosh-Patch kann auf Systemen installiert werden, auf denen die neueste Version von Office 98 ausgeführt wird. Um die neueste Version von Office zu ermitteln, schauen Sie sich "/https:>https" an<:
  • Der Excel 2002-Patch kann auf Systemen installiert werden, auf denen Excel 2002 mit Office XP Service Pack 2 ausgeführt wird. (Das Verwaltungsupdate kann auch auf Systemen installiert werden, auf denen Office 2002 Service Pack 1 ausgeführt wird).

Aufnahme in zukünftige Service Packs:

Der Fix für dieses Problem wird in allen zukünftigen Service Packs für die betroffenen Produkte enthalten sein.

Neustart erforderlich: Nein

Patch kann deinstalliert werden: Nein

Abgelöste Patches: Keine.

Überprüfen der Patchinstallation:

  • Word 2002: Stellen Sie sicher, dass die Versionsnummer von Winword.exe 10.0.4524.0 ist.
  • Word 2000: Stellen Sie sicher, dass die Versionsnummer von Winword.exe 9.00.00.6926 ist.
  • Word 97/Word 98(J): Informationen zum Überprüfen von Word 97/Word 98(J) finden Sie unter: https://support.microsoft.com/default.aspx?scid=kb; EN-US; Q330080
  • Word X für Macintosh: Informationen zum Überprüfen von Word X für Macintosh finden Sie unter: </https:>https:
  • Word 2001 für Macintosh: Informationen zum Überprüfen von Word 2001 für Macintosh finden Sie unter: </https:>https:
  • Word 98 für Macintosh: Informationen zum Überprüfen von Word 98 für Macintosh finden Sie unter: </https:>https:
  • Excel 2002: Überprüfen, ob die Versionsnummer von Excel.exe 10.0.4524.0 ist

Einschränkungen:

Keine

Lokalisierung:

Lokalisierte Versionen dieses Patches sind an den Speicherorten verfügbar, die unter "Patchverfügbarkeit" erläutert werden.

Abrufen anderer Sicherheitspatches:

Patches für andere Sicherheitsprobleme stehen an den folgenden Speicherorten zur Verfügung:

  • Sicherheitspatches sind im Microsoft Download Center verfügbar und können am einfachsten gefunden werden, indem sie eine Schlüsselwort (keyword) Suche nach "security_patch" durchführen.
  • Patches für Consumerplattformen sind auf der WindowsUpdate-Website verfügbar.

Weitere Informationen:

Unterstützungswert:

  • Microsoft Knowledge Base-Artikel Q330008 behandelt dieses Problem und wird ungefähr 24 Stunden nach der Veröffentlichung dieses Bulletins verfügbar sein. Knowledge Base-Artikel finden Sie auf der Microsoft Online Support-Website .
  • Technischer Support steht von Microsoft-Produktsupportdiensten zur Verfügung. Es fallen keine Gebühren für Supportanrufe an, die Sicherheitspatches zugeordnet sind.

Sicherheitsressourcen: Die Microsoft TechNet Security-Website enthält zusätzliche Informationen zur Sicherheit in Microsoft-Produkten.

Haftungsausschluss:

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen:

  • V1.0 (16. Oktober 2002): Bulletin Created.
  • V1.1 (17. Oktober 2002): Aktualisiert, um zu verdeutlichen, dass der Word 2002-Patch auf Systeme angewendet werden kann, auf denen Word 2002 Service Pack 1 mit dem Administratorupdate ausgeführt wird.
  • V1.2 {24. Juli 2003): Aktualisierte Mac-Downloadlinks.

Gebaut am 2014-04-18T13:49:36Z-07:00</https:>

  • Last updated on