[Generic/Openoffice] Schwachstellen im RTF-Parser von OpenOffice
RUS-CERT (Oliver Goebel)
(2007-06-15 01:50:29.338847+02)
Quelle: http://www.openoffice.org/security/CVE-2007-0245.html
Eine Schwachstelle in den Routinen für das RTF-Parsing von OpenOffice
der Versionen vor 2.2.1 kann von einem Angreifer dazu ausgenutzt
werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem
auszuführen.
Betroffene Systeme
* Openoffice 2.2.0 und früher
Nicht betroffene Systeme
* Openoffice 2.2.1
Einfallstor
speziell präparierte RTF-Datei
Angriffsvoraussetzung
Öffnen der Datei durch einen regulären, autorisierten Benutzer des
beherberhenden Rechnersystems
Angriffsvektorklasse
mittelbar über eine Netzwerkverbindung
(mediately remote)
Auswirkung
Ausführung beliebigen Programmcodes mit den Privilegien des OpenOffice
aufrufenden Benutzers
(user compromise)
Typ der Verwundbarkeit
Pufferüberlaufschwachstelle
(buffer overflow bug)
Gefahrenpotential
hoch
(Hinweise zur [1]Einstufung des Gefahrenpotentials.)
Beschreibung
Eine Schwachstelle in den Routinen für das RTF-Parsing von OpenOffice
der Versionen vor 2.2.1 kann von einem Angreifer dazu ausgenutzt
werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem
auszuführen. Der Code wird dabei mit den Privilegien des Benutzers von
OpenOffice ausgeführt der hierzu eine entsprechend präparierte
RTF-Datei in der Applikation öffnen muss. Die Schwachstelle ist in
OpenOffice 2.2.1 nicht mehr enthalten.
Gegenmaßnahmen
* Installation von [2]Openoffice 2.2.1
Vulnerability ID
* [3]CVE-2007-0245
Aktuelle Version dieses Artikels
[4]http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1382
Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der
Universität Stuttgart recherchiert und zusammengestellt. Die
Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte.
Dieser Artikel darf ausschließlich in unveränderter Form und nur
zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis
veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen
an anderer Stelle ist ausdrücklich gestattet.
Copyright © 2007 RUS-CERT, Universität Stuttgart,
[5]http://CERT.Uni-Stuttgart.DE/
References
1. http://CERT.Uni-Stuttgart.DE/ticker/charta.php#Gefaehrdungsstufen
2. http://download.openoffice.org/2.2.1/index.html
3. http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0245
4. http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1382
5. http://CERT.Uni-Stuttgart.DE/
----------------------------------------------------------------------
Weitere Nachrichten: http://CERT.Uni-Stuttgart.DE/ticker/
Kommentare & Kritik bitte an Aut...@Lists.CERT.Uni-Stuttgart.DE