Microsoft lukker mere end 30 nye sårbarheder i Office

Kort efter sin rekordstore Patch Tuesday-udrulning har Microsoft udsendt rettelser til mere end 30 nye sårbarheder. Hovedparten af fejlene findes i Office-pakken, hvor omkring to dusin fejl med potentiel fjernkodeeksekvering (RCE) er blevet lukket.

Det skriver Security Week.

Flere af sårbarhederne kan udnyttes gennem specialudformede dokumenter sendt til potentielle ofre. I en række tilfælde er det tilstrækkeligt, at dokumentet behandles via Preview Pane, uden at filen nødvendigvis åbnes direkte.

Word står for størstedelen af rettelserne

Langt de fleste rettelser vedrører Microsoft Word, mens et mindre antal fejl er blevet lukket i Excel, Outlook, PowerPoint og SharePoint.

De bagvedliggende årsager spænder over klassiske programmeringsfejl som buffer overflows, off-by-one-fejl, use-after-free-sårbarheder, path traversal og numeriske trunkeringsfejl. Konsekvensen kan være, at angribere opnår mulighed for at afvikle kode på offerets system.

Ud over RCE-fejlene har Microsoft også rettet flere sårbarheder, der kan føre til informationslækage, samt en fejl der gør det muligt at omgå sikkerhedskontroller.

Også rettelser uden for Office

Opdateringerne omfatter desuden en denial-of-service-sårbarhed i ASP.NET Core, en privilege escalation-fejl i Identity Web og en informationslækage i Authentication Library (MSAL) for Node.js.

Ifølge Microsoft er ingen af de nye sårbarheder blevet udnyttet som zero-days.

Samtidig har virksomheden opdateret en række tidligere sikkerhedsrådgivninger for at meddele, at sikkerhedsopdateringer nu også er tilgængelige for Office LTSC for Mac 2021 og 2024 samt Office 365 for Mac.