Kwetsbaarheden in Microsoft Office Verholpen

Introductie

Het Nationaal Cyber Security Centrum (NCSC) heeft een beveiligingsadvies uitgebracht over opgeloste kwetsbaarheden in verschillende Microsoft Office producten. Dit document biedt een overzicht van de kwetsbaarheden, de getroffen producten, de risico’s en de oplosmethoden.

Overzicht van de Adviezen

Het beveiligingsadvies wordt uitgebracht in verschillende formaten en versies, waarbij de officieel ondertekende PGP-versie leidend is voor de exacte informatie. Hieronder volgt een gedetailleerd overzicht van de inhoud.

Kwetsbaarheden

Microsoft heeft bevestigde kwetsbaarheden verholpen in diverse Office-producten. Deze kwetsbaarheden kunnen door kwaadwillenden worden misbruikt voor verschillende aanvallen zoals:

• Denial-of-Service (DoS): Verstoring van de beschikbaarheid van systemen.
• Privilege Escalation: Verhoogde toegangsrechten verkrijgen.
• Data Breach: Ongeautoriseerde toegang tot gevoelige informatie.
• Code Execution: Uitvoeren van schadelijke code met mogelijke SYSTEM-rechten.

Specificatie van de Kwetsbaarheden

• Deserialization of Untrusted Data
• Protection Mechanism Failure
• Improper Neutralization of Special Elements used in a Command (‘Command Injection’)
• Use After Free
• Improper Access Control
• Improper Authorization
• Buffer Over-read

Gedetailleerde Beschrijving

Volgens Microsoft kan een aanvaller deze kwetsbaarheden misbruiken door het slachtoffer te verleiden een kwaadwillend bestand te openen of een schadelijke link te volgen. Een voorbeeld is de kwetsbaarheid met kenmerk CVE-2024-38226, waarbij sprake is van beperkt en gericht misbruik. De kwetsbaarheid treft Microsoft Publisher, waarbij macro-beperkingen omzeild kunnen worden.

Getroffen Microsoft Office-producten:

Onderstaande lijst specificeert de producten en versies die kwetsbaar waren voor de genoemde problemen.

• Microsoft 365 Apps for Enterprise
• Microsoft AutoUpdate for Mac
• Microsoft Excel 2016
• Microsoft Office 2019
• Microsoft Office voor Android
• Microsoft Office Universal
• Microsoft Office LTSC 2021
• Microsoft Office LTSC for Mac 2021
• Microsoft Office Online Server
• Microsoft Publisher 2016
• Microsoft SharePoint Enterprise Server 2016
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Server Subscription Edition
• Microsoft Visio 2016
• Outlook for iOS

Bereik van de Kwetsbaarheden

Platforms	Producten	Versies
–	microsoft_365_apps_for_enterprise microsoft_autoupdate_for_mac microsoft_excel_2016 microsoft_office_2019 microsoft_office_for_android microsoft_office_for_universal microsoft_office_ltsc_2021 microsoft_office_ltsc_for_mac_2021 microsoft_office_online_server microsoft_publisher_2016 microsoft_sharepoint_enterprise_server_2016 microsoft_sharepoint_server_2019 microsoft_sharepoint_server_subscription_edition microsoft_visio_2016 outlook_for_ios	16.0.1 – 0 – 16.0.0.0 – 19.0.0 – 16.0.1 – 16.0.1 – 16.0.1 – 16.0.1 – 16.0.1 – 16.0.0 – 16.0.0 – 16.0.0 – 16.0.0 – 16.0.1 – 1.0.0

Oplossingen

Microsoft heeft updates uitgebracht om deze kwetsbaarheden te verhelpen. Het is ten zeerste aanbevolen om deze updates zo snel mogelijk te installeren. Voor meer informatie over de kwetsbaarheden en beschikbare updates, kunt u terecht op de Microsoft Security Guidance-portal.

CVE-Referenties

De volgende CVE’s zijn toegewezen aan de kwetsbaarheden:

• CVE-2024-38018
• CVE-2024-38226
• CVE-2024-38227
• CVE-2024-38228
• CVE-2024-38250
• CVE-2024-43463
• CVE-2024-43464
• CVE-2024-43465
• CVE-2024-43466
• CVE-2024-43482
• CVE-2024-43492

Publicatiegegevens

Publicatie	Kans	Schade	Link
Vandaag	Medium	High	PGP-signature CSAF PDF

Het gebruik van deze beveiligingsadvies is onderworpen aan de volgende algemene voorwaarden. Hoewel het NCSC de grootste zorg heeft betracht bij de samenstelling van dit advies, kan het NCSC niet instaan voor de volledigheid, juistheid of actualiteit ervan. De informatie is uitsluitend bedoeld als algemene informatie voor professionele partijen. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade voortvloeiend uit het gebruik van dit advies. Op dit advies is Nederlands recht van toepassing, en alle geschillen zullen worden voorgelegd aan de rechtbank in Den Haag.

---

Voor professionals die betrokken zijn bij IT-beveiliging is het cruciaal om op de hoogte te blijven van de laatste ontwikkelingen en patches toe te passen zodra ze beschikbaar komen.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----