2024-0380: Microsoft Office, Office-Produkte und -Dienste: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2024-02-14 13:22): Neues Advisory
Version 2 (2025-02-10 08:56): Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) hat die Schwachstelle CVE-2024-21413 in ihren 'Known Exploited Vulnerabilities Catalog' aufgenommen.

Betroffene Software

Middleware
Netzwerk
Office
Server

Betroffene Plattformen

Google
Linux
Microsoft

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen. Zudem kann ein Angreifer eine Schwachstelle im benachbarten Netzwerk ausnutzen, um Informationen auszuspähen. Mehrere weitere Schwachstellen kann ein Angreifer lokal ausnutzen, um Informationen auszuspähen, Privilegien zu eskalieren und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers.

Die Schwachstellen betreffen verschiedene Versionen von Office, Office-Komponenten und -Produkten auf Windows-Systemen.

Microsoft adressiert die Schwachstellen im Rahmen des Patchtags im Februar 2024. Diese können im Microsoft Security Update Guide über die Kategorie 'Microsoft Office' identifiziert werden.

Schwachstellen:

CVE-2024-20673

Schwachstelle in Microsoft Office ermöglicht Ausführen beliebigen Programmcodes

CVE-2024-20695

Schwachstelle in Skype for Business Server ermöglicht Ausspähen von Informationen

CVE-2024-21374

Schwachstelle in Microsoft Teams ermöglicht Ausspähen von Informationen

CVE-2024-21378

Schwachstelle in Microsoft Outlook ermöglicht Ausführen beliebigen Programmcodes

CVE-2024-21379

Schwachstelle in Microsoft Word ermöglicht Ausführen beliebigen Programmcodes

CVE-2024-21384

Schwachstelle in Microsoft Office OneNote ermöglicht Ausführen beliebigen Programmcodes

CVE-2024-21402

Schwachstelle in Microsoft 365 Apps for Enterprise (Microsoft Outlook) ermöglicht Privilegieneskalation

CVE-2024-21413