Microsoft stopft Sicherheitslücken in Office Web Components
Zusammenfassung
Microsoft meldete im August 2002 drei kritische Lücken in den Office Web Components 2000 und 2002, die in Office, Money, Project und mehreren Serverprodukten steckten. Über die Host()-Funktion konnte eine präparierte Webseite Office-Programme starten und beliebige Befehle ausführen, zwei weitere Lücken gaben Zwischenablage und lokale Dateien preis. Der Patch war bereits im Service Pack 2 für Office XP enthalten.
Ideen
- Eine wiederverwendete Komponente trägt ihre Lücken in viele Produkte.
- Zwischenablage und lokale Dateien waren aus dem Browser heraus auslesbar.
Einsichten
- Gemeinsam genutzte Bibliotheken vergrößern die Angriffsfläche über Produktgrenzen hinweg.
- Die Grenze zwischen Browser und Desktop-Anwendung war ein zentrales Einfallstor dieser Zeit.
Fakten
- Betroffen waren unter anderem Office 2000, Office XP, Money 2002 und 2003 sowie Project 2002.
- Service Pack 2 für Office XP enthielt den Patch bereits.
Referenzen
Kritik
- Die Meldung listet betroffene Produkte, erklärt aber nicht, wie Administratoren alle Installationen der Komponente finden.
Empfehlungen
- Inventarisiere, welche Produkte gemeinsame Komponenten mitbringen, um Patches vollständig einzuspielen.
- Deaktiviere Browser-Erweiterungen und ActiveX-ähnliche Schnittstellen, die nicht gebraucht werden.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.