Beveiligingswaarschuwing: Kwetsbaarheden in Microsoft Office Verholpen

Microsoft heeft onlangs diverse kwetsbaarheden opgelost in hun Office-producten. Deze kwetsbaarheden hadden een aanzienlijke impact, aangezien kwaadwillenden hierdoor verhoogde rechten konden verkrijgen, willekeurige code konden uitvoeren en mogelijk toegang konden krijgen tot gevoelige informatie van gebruikers. Er is een veiligheidsupdate uitgebracht om deze problemen te verhelpen, en Microsoft heeft aanvullende maatregelen genomen om de Defense In-Depth van MS Project 2016 te verbeteren. Voor sommige updates is mogelijk een handmatige actie vereist. Meer informatie daarover is te vinden in het artikel ADV240002.

Kwetsbaarheden en hun Impact

Hieronder vindt u een overzicht van de verschillende kwetsbaarheden die zijn opgelost:

• Relative Path Traversal: Hierdoor kon een aanvaller ongeoorloofd toegang tot bestanden krijgen door padnamen te manipuleren.
• Improper Restriction of XML External Entity Reference: Dit probleem stelde aanvallers in staat om gevoelige informatie te onthullen door het manipuleren van XML-databronnen.
• Deserialization of Untrusted Data: Aanvallers konden hierdoor kwaadaardige code injecteren in het geheugen van een applicatie.
• Out-of-bounds Read: Deze fout maakte het mogelijk om gegevens buiten de verwachte memory-toewijzingen te lezen, wat kan leiden tot crashen of datalekken.
• Use After Free: Na het vrijgeven van geheugen kon een aanvaller nog steeds toegang krijgen tot dat geheugen, wat kan leiden tot het uitvoeren van kwaadaardige code.
• Improper Link Resolution Before File Access (‘Link Following’): Dit probleem maakte het mogelijk om gebruikers om te leiden naar onveilige links.
• Improper Access Control: Aanvallers konden toegang krijgen tot gegevens waarvoor ze geen rechten hadden.

Affected Platforms and Versions

De kwetsbaarheden zijn van toepassing op de volgende Microsoft Office-producten en versies:

• Microsoft 365 Apps
• Microsoft Access
• Microsoft Excel
• Microsoft Office 2016, 2019, LTSC 2021, LTSC 2024
• Microsoft Office voor Mac 2021, LTSC voor Mac 2024
• Microsoft SharePoint Server 2016, 2019, Subscription Edition
• Microsoft Word 2016
• Specifieke edities van Microsoft Access en Excel 2016

Oplossingen en Aanbevelingen

We raden gebruikers aan om de door Microsoft aangeboden updates zo snel mogelijk te installeren om zichzelf te beschermen tegen deze kwetsbaarheden. Informatie over het installeren van deze updates en eventuele noodzaak voor work-arounds is te vinden op de veiligheidsadvieswebsite Security Guidance Portal en Microsoft Download Center.

CVE’s Geassocieerd met deze Kwetsbaarheden

De volgende CVE’s identificeren de specifieke kwetsbaarheden die zijn aangepakt:

• CVE-2024-43600
• CVE-2024-49059
• CVE-2024-49062
• CVE-2024-49064
• CVE-2024-49065
• CVE-2024-49068
• CVE-2024-49069
• CVE-2024-49070
• CVE-2024-49142

Disclaimer

Bij het gebruik van deze beveiligingswaarschuwing gaat u akkoord met de voorwaarden van de disclaimer van het Nationaal Cyber Security Centrum (NCSC). Hoewel er zorg is gedragen voor de nauwkeurigheid en volledigheid van deze informatie, kan het NCSC niet garanderen dat dit altijd het geval is. Het NCSC is ook niet aansprakelijk voor schade voortvloeiend uit het gebruik of niet kunnen gebruiken van dit beveiligingsadvies, waarop Nederlands recht van toepassing is. Geschillen zullen worden voorgelegd aan de bevoegde rechtbank te Den Haag.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----