Viestintäviraston CERT-FI -tietoturvallisuusyksikön varoituksen mukaan Microsoftin Word-ohjelmistosta sekä WordPerfect-muuntimesta on löytynyt haavoittuvuuksia, joita hyväksikäyttämällä hyökkääjä saa kohdekoneen käyttöönsä eli voi ajaa siinä haluamiaan komentoja.
Word-ohjelmiston haavoittuvuus liittyy makrokomentojen tarkistustoimintoon. Haavoittuvuuden kautta hyökkääjän voi olla mahdollista ohittaa makrokomentojen tarkistustoiminto muotoilemalla tietyntyyppinen Microsoft Word-tiedosto ja suorittaa näin kohdetietojärjestelmässä omia komentojaan sen hetkisen käyttäjän oikeuksin.
Microsoft on luokitellut tämän haavoittuvuuden tärkeäksi eli Important-luokkaan. Microsoft Word on tekstinkäsittelyohjelmisto.
Microsoft Word -makrokomentojen tarkistustoiminnon haavoittuvuudelle alttiita tietojärjestelmiä ovat ne, joissa käytetään seuraavia ohjelmistoja:
- Microsoft Word 97
- Microsoft Word 98 (J)
- Microsoft Word 2000
- Microsoft Word 2002
- Microsoft Works Suite 2001
- Microsoft Works Suite 2002
- Microsoft Works Suite 2003
Microsoft Office-toimistosovelluksista löytyy lisäksi WordPerfect-muunninta (converter), josta on löytynyt puskuriylivuoto-haavoittuvuus. Sitä hyväksikäyttämällä hyökkääjällä voi olla mahdollisuus suorittaa kohdetietojärjestelmässä omia komentojaan sen hetkisen käyttäjän oikeuksin.
Tämänkin haavoittuvuuden Microsoft on luokitellut Important-luokkaan. WordPerfect-muuntimella on tarkoitus luoda Microsoft Office-toimistosovelluksille mahdollisuus käsitellä Corel WordPerfect-ohjelmistolla luotuja tiedostoja.
Microsoft WordPerfect-muuntimen haavoittuvuudelle alttiita tietojärjestelmiä ovat ne, joissa käytetään seuraavia ohjelmistoja:
- Microsoft Office 97
- Microsoft Office 2000
- Microsoft Office XP
- Microsoft Word 98 (J)
- Microsoft FrontPage 2000
- Microsoft FrontPage 2002
- Microsoft Publisher 2000
- Microsoft Publisher 2002
- Microsoft Works Suite 2001
- Microsoft Works Suite 2002
- Microsoft Works Suite 2003
Ratkaisut ja lisätiedot:
Päivitä Microsoft Word-ohjelmiston makrokomentojen tarkistustoiminnon haavoittuvuudelle altis tietojärjestelmä korjaustiedostolla, joka on ladattavissa lisätietojen kanssa osoitteesta:
http://www.microsoft.com/technet/security/bulletin/MS03-035.asp
Päivitä Microsoft WordPerfect-muuntimen haavoittuvuudelle altis tietojärjestelmä korjaustiedostolla, joka on ladattavissa osoitteesta:
http://www.microsoft.com/technet/security/bulletin/MS03-036.asp