14 Juli, 2009

Zero Day Sårbarhed i Microsoft Office ActiveX Control

ALVORLIGHEDSGRAD: HØJ
OPSUMMERING:
Påvirker: De fleste versioner af Microsoft Office (også Biztalk og ISA Server)  
Hvordan udnyttes sårbarheden: Ved at narre brugerne ind på et ondsindet website
Resultat: En hacker kan eksekvere kode på din computer og potentielt få control over den
Løsning: Implementer nedenstående workarounds

Microsoft frigav igår en advarsel i deres security advisory , som advarer mod alvorlige upatchede sårbarheder i den ActiveX control der kommer med de fleste versioner af Microsoft Office og Microsoft Biztalk, ISA Server, Office Accounting og Business Contact Manager.

Det er konstateret at hackere har udnyttet sårbarheden ”in the wild” og derfor er der ikke detaljerede beskrivelser tilgængelige. Der advares kun mod at sårbarheden omfatter det regneark ActiveX control, som kommer med Office Web komponenterne (OWC). Office 2007 installerer dog ikke alle komponenter automatisk.

Hackere kan udnytte sårbarheden gennem Internet Explorer (IE). Ved at narre brugere ind på, et til lejligheden opbygget website, kan hackeren udnytte sårbarheden til at eksekvere kode på brugerens PC  med den pågældende brugers rettigheder. Har brugeren lokale administrator rettigheder, får hackeren det også!!
Følg nedenstående anvisning for at hindre at denne alvorlige sårbarhed udnyttes af et Zero day angreb.

LØSNING
Microsoft har ikke haft tid til at komme med en fuld patch, men har dog frigivet en "Fix it" workaround som emilminerer sårbarheden i OWC ActiveX control i IE. Hvis ikke du har noget imod at  at slå IE's mulighed for at håndtere Office regneark fra, så anbefaler vi at du benytter denne "Fix it" workaround indtil Microsoft frigiver et endeligt patch.