Symptomen
Microsoft Visual Basic for Applications (VBA) is gebaseerd op het ontwikkelsysteem Microsoft Visual Basic. Microsoft Office-producten bevatten VBA en gebruiken het om bepaalde functies uit te voeren. U kunt VBA gebruiken om aangepaste programma's te maken die op een bestaand hostprogramma zijn gebaseerd.
Er is een fout aangetroffen in de manier waarop VBA de eigenschappen van documenten controleert die aan VBA worden doorgegeven wanneer een document door het hostprogramma wordt geopend. Er bestaat een bufferoverloop die (indien deze met succes wordt gebruikt) ertoe kan leiden dat een aanvaller programmacode naar keuze kan uitvoeren in de context van de aangemelde gebruiker.
Een aanval kan alleen werken als de aangemelde gebruiker een speciaal gemaakt document opent dat de aanvaller hem of haar heeft toegezonden. Het kan hier om elk type document gaan waarin VBA wordt ondersteund, zoals een document van Microsoft Word, een Microsoft Excel-spreadsheet of een Microsoft PowerPoint-presentatie. Als Word wordt gebruikt als editor voor HTML-e-mail van Microsoft Outlook, kan dit document ook een e-mailbericht zijn. De aangemelde gebruiker moet het schadelijke e-mailbericht echter beantwoorden of doorsturen om misbruik van het beveiligingslek mogelijk te maken.
Beperkende factoren- De aangemelde gebruiker moet een door een aanvaller toegezonden document openen om misbruik van dit beveiligingslek mogelijk te maken.
- Als Word wordt gebruikt als HTML-e-maileditor van Outlook, moet een gebruiker een door de aanvaller toegezonden schadelijk e-mailbericht beantwoorden of doorsturen voordat misbruik van dit beveiligingslek kan worden gemaakt.
- De programmacode van de aanvaller kan alleen worden uitgevoerd met dezelfde rechten als die van de aangemelde gebruiker. De specifieke rechten die de aanvaller via dit lek kan krijgen, zijn daarom afhankelijk van de rechten van de aangemelde gebruiker. Alle beperkingen die zijn opgelegd aan de account van de aangemelde gebruiker, zoals de rechten die via groepsbeleid zijn toegekend, zijn ook van kracht voor de acties van eventuele willekeurige code die via dit beveiligingslek wordt uitgevoerd.
Oplossing
Informatie over de beveiligingspatch
Downloaden en installeren
Als u een van de volgende programma's gebruikt, moet u de VBA-versie van deze patch toepassen:
- Microsoft VBA 5.0
- Microsoft VBA 6.0
- Microsoft VBA 6.2
- Microsoft VBA 6.3
- Microsoft Access 97
- Microsoft Excel 97
- Microsoft PowerPoint 97
- Microsoft Word 97
- Microsoft Word 98(J)
- Microsoft Works 2001
- Microsoft Works 2002
- Microsoft Works Suite 2003
- Microsoft Business Solutions Great Plains 7.5
- Microsoft Business Solutions Great Plains 7,0
- Microsoft Business Solutions Great Plains 6,0
- Microsoft Business Solutions Solomon IV 4.5
- Microsoft Business Solutions Solomon IV 5,0
- Microsoft Business Solutions Solomon IV 5.5
Klik voor meer informatie over de patch voor Microsoft VBA op het volgende artikelnummer in de Microsoft Knowledge Base:
822150VBASDK: Beschikbaarheid van de Microsoft VBA-beveiligingsupdate voor MS03-037
Als u een van de volgende programma's gebruikt, dient u de specifieke versie van de patch toe te passen die voor die producten is opgesteld:
- Microsoft Project 2000
- Microsoft Project 2002
- Microsoft Visio 2002
Klik voor meer informatie over deze beveiligingspatches op de volgende artikelnummers in de Microsoft Knowledge Base:
822211Overzicht beveiligingspatch voor Microsoft Project 2002: 03.09.03
822478Overzicht beveiligingspatch voor Microsoft Project 2000: 03.09.03
822212Overzicht beveiligingspatch voor Visio 2002: 03.09.03
Als u een van de volgende programma's gebruikt, dient u de specifieke versie van de patch toe te passen die voor die producten is opgesteld:
- Microsoft Office 2000
- Microsoft Office XP (inclusief Microsoft Publisher 2002)
Klik voor meer informatie over deze beveiligingspatches op de volgende artikelnummers in de Microsoft Knowledge Base:
822036Overzicht van de beveiligingspatch voor Office XP: 3 september 2003
822035Overzicht van de beveiligingspatch voor Office 2000 van 3 september 2003
Verwijderen
U kunt deze patch niet verwijderen.
Patchvervanging
Door deze patch worden geen andere hotfixes vervangen.