Microsoft will Office sicherer machen

In den vergangenen Monaten gab es kaum einen Microsoft-Patchday, nach dem Angreifer nicht kurze Zeit später neue Sicherheitslücken in Microsofts Office (Zero-Days) zum Einschleusen von Schadcode missbraucht haben. Das Unternehmen sieht nun Handlungsbedarf, um das Arbeiten mit der Office-Suite sicherer zu machen, und stellt zwei Software-Updates vor, die die Gefahren durch die Verarbeitung von manipulierten Office-Dokumenten verringern sollen: Microsoft Office Isolated Conversion Environment (MOICE) und eine File-Block-Funktion.

Die MOICE-Software macht nichts anderes, als Office-Dokumente im Office-Binärformat mit Hilfe der Office-2007-Konvertierungsroutinen in dessen XML-Format umzuwandeln. Den Office-Entwicklern fiel nämlich bei der Analyse der bislang aufgetauchten, schadhaften Dokumente auf, dass der Konvertierer aus Office 2007 daraus ein Dokument ohne Schadwirkung erzeugte, die Umwandlung fehlschlug oder die Software einfach abstürzte.

Öffnet man nun ein derart umgewandeltes Dokument mit Office 2000, XP, 2003 oder 2007, sei dies wesentlich sicherer, da der schädliche Code in den umgewandelten Dokumenten nicht vorhanden ist. Allerdings muss für die älteren Office-Versionen ein Kompatibilitäts-Update eingespielt werden, damit sie das neue XML-Format verstehen können. Offiziell unterstützt Microsoft lediglich Office 2003 und 2007.

MOICE arbeitet im Gegensatz zu den Filtern in Office 2007 innerhalb einer Sandbox mit eingeschränkten Zugriffsrechten, aus der es auch keine neuen Prozesse starten kann. Das soll verhindern, dass beispielsweise bei einem Absturz des Konvertierers Schadcode zur Ausführung kommt, erläutert der Microsoft-Entwickler David LeBlanc in seinem Blog.

Um die Filter einzusetzen, muss der Administrator oder Anwender die zu behandelnden Dokument-Typen (.doc, .xls, .xlt, .xla, .ppt, .pot, .pps) mit einem Befehl mit MOICE assoziieren. Daraufhin führt die Software beim Öffnen der Dokumente die Umwandlung durch und übergibt das gefilterte Dokument an die eigentlich zuständige Anwendung.

Beim Arbeiten mit MOICE können auch Probleme auftreten. Standardmäßig brechen die Filter etwa die Arbeit ab, wenn die Umwandlung nach 45 Sekunden noch nicht abgeschlossen ist – um große Dokumente umzuwandeln, muss man daher einige Einstellungen in der Registry anpassen. PowerPoint-Präsentationen, die mit der Programmversion 97 oder früher erstellt wurden, lassen sich nicht umwandeln; außerdem entfernen die Filter Smart-Tags aus den Präsentationen. Ebenso filtert MOICE Makros aus den Dokumenten aus.

Die Konvertierungssoftware ist hauptsächlich für den Unternehmenseinsatz gedacht, da mit den Zero-Day-Exploits in Office bisher vorrangig Firmen gezielt angegriffen wurden. Diese können beispielsweise am Gateway zentral alle eingehenden Office-Dokumente mit MOICE umwandeln. Andreas Marx von AV-Test warnt jedoch, das man sich damit lediglich vor Exploits im alten Format schütze; wer wisse schon, welche neuen Überraschungen es in Office 2007 noch gebe.

Als weiteres Update zur Verbesserung der Office-Sicherheit will Microsoft einen Patch ausliefern, der eine so genannte File-Block-Funktion in Office 2007 aktiviert beziehungsweise für Office 2003 nachrüstet. Administratoren können dadurch mittels Gruppenrichtlinien beziehungsweise durch Änderungen an der Registry das Öffnen von bestimmten Office-Dokument-Typen unterbinden. Dies sei dann sinnvoll, wenn eine Sicherheitslücke etwa in Word, Excel oder PowerPoint bekannt werde, für die noch kein Patch bereitsteht, und Administratoren die Anwender schützen möchten.

In Microsofts Meldung kündigt das Unternehmen die Verfügbarkeit der beiden Software-Updates an, allerdings fehlen Download-Links, wo man die Software herunterladen könnte. Es sollte in Kürze auf der allgemeinen Download-Seite für Microsofts Office erscheinen. Die MOICE-Software soll ab dem 12. Juni dieses Jahres über Microsoft Update als empfohlenes Update bereitstehen. Sie setzt ein installiertes Office 2003 oder 2007 voraus, auf dem alle wichtigen Updates eingespielt sind. In Office 2007 ist die File-Block-Funktion bereits enthalten, für Office 2003 will Microsoft Updates liefern, die die Funktion nachrüsten.

Siehe dazu auch:

• Release of Microsoft Office Isolated Conversion Environment (MOICE) and File Block Functionality for Microsoft Office, Meldung von Microsoft
• Microsoft Office Compatibility Pack für Dateiformate von Word, Excel und PowerPoint 2007, Download der benötigten Import-Filter für Office 2000, XP und 2003
• New File Converter Coming Soon, Blog-Eintrag von David LeBlanc

(dmk)