Details noch geheim
Erste Sicherheitslücke in MS Office 2010 entdeckt
Ein französischen Sicherheitsunternehmen will eine schwer wiegende Sicherheitslücke in Office 2010 entdeckt haben, hält jedoch mit den Details noch hinter dem Berg.
Microsoft hat kürzlich sein neues Office 2010 auf den Markt gebracht. Jetzt ist ein Sicherheitsunternehmen vorgeprescht und behauptet, es habe bereits die erste schwere Sicherheitslücke darin gefunden. Sie soll das Einschleusen von Code ermöglichen. Details darüber hat auch Microsoft noch nicht erhalten.
Das französische Sicherheitsunternehmen VUPEN (vormals FrSIRT) hat nach eigenen Angaben intensive Forschungen zur Sicherheit von Office 2010 betrieben. Dabei hat es mit Hilfe von Werkzeugen, die zum Aufspüren von Schwachstellen in Office 2007 entwickelt wurden, auch in Office 2010 eine ausnutzbare Lücke gefunden.
Die Schwachstelle steckt demnach in Excel 2010 und lässt sich mit einem speziell präparierten Excel-Dokument ausnutzen, um Code einzuschleusen und auszuführen. Dabei umgeht der Exploit-Code Schutzmaßnahmen wie DEP (Data Execution Prevention) und Office File Validation. Auch in Word 2010 wollen die Forscher bereits einen Fehler gefunden haben, basteln jedoch noch an einem funktionierenden Exploit.
Details zu den Entdeckungen will VUPEN erst "zu einem späteren Zeitpunkt" an Microsoft melden. Man erforsche noch, ob auch Office 2007 betroffen sei. Außerdem sei, gemessen an dem betriebenen Aufwand, ein Dankeschön am Fußende eines Security Bulletin ein zu dürftiger Lohn für die Mühe. VUPEN hat zahlende Kunden, zu denen auch Behörden zählen. Diese Behördenkunden haben die detaillierte Analyse der Office-Anfälligkeit erhalten und auch Empfehlungen zum Schutz davor.
