CVE-2023-36884 - Office and Windows HTML Remote Code Execution Vulnerability

[phatair 38]

Hallo zusammen,

 

es gibt aktuell eine Zero Day Sicherheitslücke und für bestimmte Office Anwendungen noch kein Patch.

Es muss manuell ein RegKey eingetragen werden. "Nebenwirkungen" sind noch keine bekannt. 

Wir testen gerade

 

Quelle:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884 Visio.exe

https://aka.ms/Storm-0978

https://www.borncity.com/blog/2023/07/13/office-und-windows-html-rce-schwachstelle-cve-2023-36884-erlaubt-systembernahme/#comment-152256

 

bearbeitet 13. Juli 2023 von phatair

[wznutzer 32]

Hallo,

 

es heißt, dass man geschützt sein sollte, wenn man Microsoft Defender for Office 365 nutzt. Habe ich zwar, aber wenn eine präparierte Office-Datei von irgendwoher anders geöffnet wird und nicht per Dateianhang ankommt, sollte man wahrscheinlich trotzdem die Keys per GPO setzen.

[Pitti259 15]

In der .reg den Schreibfehler bei Powerpoint beachten. Richtig ist Powerpnt.exe statt PowerPoint.exe.

[NorbertFe 1.805]

Nein, das ist _kein_ Schreibfehler. ;) Die .exe heißt wirklich so.

"C:\Program Files\Microsoft Office\root\Office16\POWERPNT.EXE"

[testperson 1.534]

vor 12 Minuten schrieb NorbertFe:

Nein, das ist _kein_ Schreibfehler. ;) Die .exe heißt wirklich so.

"C:\Program Files\Microsoft Office\root\Office16\POWERPNT.EXE"

Nichts anderes schreibt @Pitti259 ;)

 

An verschiedenen Stellen (Microsoft, BSI, Kommentare bei Günter Born) war anfangs tatsächlich "PowerPoint.exe" aufgeführt und eben nicht "PowerPnt.exe".

[NorbertFe 1.805]

Ach menno. Wer schaut denn schon in die Kommentare bei sowas. Ich hab das direkt aus dem CVE abgepinselt. ;)

[phatair 38]

Ja, da hat ms sich mal wieder was geleistet. In deren Screenshot war tatsächlich powerpoint.exe gestanden und das bsi hat das 1:1 so in deren Warnung übernommen. 

 

Bis jetzt haben wir auch keine Probleme festgestellt und verteilen die regkeys jetzt an alle. 

 

Soweit ich das richtig verstehe, verhindern die keys doch, das aus der engine vom ie11 subprozesse gestartet werden (z.b. dann word, excel, usw).

Es hieß ja, dass es Probleme mit office geben könnte. Das verstehe ich dann nicht, da die regkeys ja für den ie gelten. 

 

Oder verdrehe ich da was?

[daabm 1.185]

Wir waren dem BSI auch dankbar... Donnerstag morgens den Fix dafür gebaut, Freitag morgen grad nochmal. Und nein, das ist bei uns keine "2 Klicks und fertig" Aktion :-(

[zahni 521]

Ich habe den Krempel auch per GPO (Registry) verteilt. Mit PowerPoint und Powerpnt (bei MS weiß man ja nie...)

Scheint auch weiter nicht zu stören.

[NorbertFe 1.805]

vor 24 Minuten schrieb daabm:

Wir waren dem BSI auch dankbar... Donnerstag morgens den Fix dafür gebaut, Freitag morgen grad nochmal. Und nein, das ist bei uns keine "2 Klicks und fertig" Aktion :-(

Ihr Turnschuhadmins :p