Microsoft: Zwanzig Lücken weniger

MS07-014: Codeausführung durch diverse Word-Lücken

Vier der sechs in diesem Bulletin beschriebenen Lücken betreffen das Parsen von bestimmten Elementen in Word-Dokumenten. Diese Art von Lücke ist bei den letzten Patch Days vermehrt bei diversen Office-Produkten aufgetreten. Dieses Mal geht es um das Parsen von Strings, Datenstrukturen, Grafiken und Funktionen.

Die fünfte Lücke dreht sich um die Feldfunktion, die die Anzahl der Worte im Dokument anzeigt. Bei der sechsten Lücke kommt es vor, dass Word den Benutzer nicht warnt, obwohl Makros im Dokument vorhanden sind.

Alle Lücken können zur Ausführung beliebigen Codes mit den Rechten des angemeldeten Benutzers führen. Der Angreifer muss das Opfer dazu bringen, ein speziell präpariertes Word-Dokument zu öffnen.

Als kritisch sind die Lücken nur für Word 2000 eingestuft. In den anderen Word-Versionen sieht Microsoft diese Lücken lediglich als „Wichtig“ an.