2023-0055: Microsoft Office: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2023-01-11 11:42): Neues Advisory

Betroffene Software

Middleware
Netzwerk
Office

Betroffene Plattformen

Apple
Microsoft

Beschreibung:

Ein Angreifer kann zwei Schwachstellen in Microsoft Office lokal ausnutzen, um beliebigen Programmcode auszuführen, wenn er einen Benutzer der Software zur Ausführung speziell präparierter Dateien verleiten kann.

Eine Schwachstelle in Microsoft Office Visio ermöglicht einem Angreifer das Ausspähen von Informationen aus der Ferne, mehrere weitere Schwachstellen können hier lokal ausgenutzt werden, um beliebigen Programmcode auszuführen. Für die Ausnutzung der meisten dieser Schwachstellen sind keine Privilegien, aber eine Benutzerinteraktion erforderlich.

Darüber hinaus ermöglicht eine kritische Schwachstelle in Microsoft Sharepoint Server einem Angreifer das Umgehen von Authentifizierungsmechanismen und dadurch weitere Angriffe über eine anonyme Verbindung zum Sharepoint Server. Hat der Angreifer die Berechtigung zur Erstellung von Seiten oder mindestens die Berechtigung 'Site Member', kann er zwei weitere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auf dem Server auszuführen.

Microsoft adressiert die Schwachstellen im Rahmen des Patchtags im Januar 2023. Diese können im Microsoft Security Update Guide über die Kategorie 'Microsoft Office' identifiziert werden.

Zur vollständigen Behebung der kritischen Schwachstelle CVE-2023-21743 muss nach Installation des Updates eine mitgelieferte Upgrade-Aktion ausgelöst werden. Der Hersteller gibt dazu Hinweise auf der Schwachstellenseite.

Schwachstellen:

CVE-2023-21734 CVE-2023-21735

Schwachstellen in Microsoft Office ermöglichen Ausführen beliebigen Programmcodes

CVE-2023-21736 CVE-2023-21737

Schwachstellen in Microsoft Office Visio ermöglichen Ausführen beliebigen Programmcodes

CVE-2023-21738

Schwachstelle in Microsoft Office Visio ermöglicht Ausführen beliebigen Programmcodes

CVE-2023-21741

Schwachstelle in Microsoft Visio Office ermöglicht u. a. Ausspähen von Informationen

CVE-2023-21742

Schwachstelle in Microsoft Sharepoint Server ermöglicht Ausführen beliebigen Programmcodes

CVE-2023-21743

Schwachstelle in Microsoft Sharepoint Server ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2023-21744