2023-0360: Microsoft Office: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2023-02-15 14:38)

Neues Advisory

Version 2 (2023-02-24 08:10)

Microsoft hat den Sicherheitshinweis zu der als kritisch eingestuften Schwachstelle CVE-2023-21716 ergänzt. Demnach sind auch Microsoft Office 2019 für 32-Bit und Microsoft Office 2019 für 64-Bit von der Schwachstelle betroffen. Im Falle automatischer Updates werden auch diese Versionen bedient. Ferner werden als Workaround zum Blockieren von RTF-Dokumenten die jeweiligen Registry-Key-Einstellungen aufgeführt.

Version 3 (2023-03-07 10:45)

Für die Schwachstelle CVE-2023-21716 wurde ein Proof-of-Concept (PoC) veröffentlicht. Es wird dringend dazu geraten, entweder die entsprechenden Sicherheitsupdates einzuspielen oder, wo dies nicht möglich ist, die von Microsoft vorgeschlagenen Workarounds für die Mitigation einzusetzen.

Betroffene Software

Middleware
Netzwerk
Office

Betroffene Plattformen

Apple
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Privilegien zu eskalieren, beliebigen Programmcode auszuführen und falsche Informationen darzustellen. Zudem kann ein Angreifer mehrere Schwachstellen lokal ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers.

Die Schwachstellen betreffen verschiedene Versionen von Office, Office-Komponenten und -Produkten auf Windows-Systemen. Die Schwachstelle CVE-2023-21716 betrifft auch Mac-Systeme und die Schwachstelle CVE-2023-21721 nur Android-Systeme.

Microsoft adressiert die Schwachstellen im Rahmen des Patchtages im Februar 2023. Diese können im Microsoft Security Update Guide über die Kategorie 'Microsoft Office' identifiziert werden.

Schwachstellen:

CVE-2023-21714

Schwachstelle in Microsoft Office ermöglicht Ausspähen von Informationen

CVE-2023-21715

Schwachstelle in Microsoft Publisher ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2023-21716

Schwachstelle in Microsoft Word ermöglicht Ausführen beliebigen Programmcodes

CVE-2023-21717

Schwachstelle in Microsoft Sharepoint Server ermöglicht Privilegieneskalation

CVE-2023-21721

Schwachstelle in Microsoft OneNote ermöglicht Darstellen falscher Informationen

CVE-2023-21823

Schwachstelle in Windows Graphics Component ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.