Aug 09, 2024, updated at Aug 13, 2024 (UTC)

1768

MICROSOFT OFFICE - Kritische Sicherheitslücke - CVE-2024-38200 - SCORE 7.5

Moin Zusammen,

so wie es aussieht ...

https://www.bleepingcomputer.com/news/security/microsoft-discloses-offic ...

... gibt es in diversen Office Versionen wohl eine kritische Sicherheitslücke, die vollständig wohl erst mit dem ...

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38200

... 13.08.24 kommenden Update geschlossen werden soll. 😔

Gruss Alex

Please also mark the comments that contributed to the solution of the article

Content-Key: 3114287017

Url: https://administrator.de/contentid/3114287017

Printed on: August 15, 2024 at 16:08 o'clock

34 Comments

Latest comment

Zitat von @MysticFoxDE:

... gibt es in diversen Office Versionen wohl eine kritische Sicherheitslücke, die vollständig wohl erst mit dem ...

... 13.08.24 kommenden Update geschlossen werden soll. 😔

Tja, da gehen die Meinungen mal wieder stark auseinander, wie kritisch das Ganze anzusehen ist:

Am I vulnerable to this issue until I install the August 13, 2024 updates?

No, we identified an alternative fix to this issue that we enabled via Feature Flighting on 7/30/2024. Customers are already protected on all in-support versions of Microsoft Office and Microsoft 365. Customers should still update to the August 13, 2024 updates for the final version of the fix.

Und trotzdem kaufen genug Leute noch immer MS Lizenzen. Daher brauchen sie sich auch keine große Mühe geben - warum auch? Aus der reinen BWL Sicht eines Konzerns wäre das verbranntes Geld, wenn geringere/günstigere Qualität offensichtlich völlig ausreichend ist

Moin @mbehrens,

Tja, da gehen die Meinungen mal wieder stark auseinander, wie kritisch das Ganze anzusehen ist:

Am I vulnerable to this issue until I install the August 13, 2024 updates?

No, we identified an alternative fix to this issue that we enabled via Feature Flighting on 7/30/2024. Customers are already protected on all in-support versions of Microsoft Office and Microsoft 365. Customers should still update to the August 13, 2024 updates for the final version of the fix.

na ja, meine Logik sagt mir aber, wenn ich als Kunde dennoch das Update vom 13.08.2024 einspielen sollte, dass dann der FIX vom 30.07.24 wohl nicht ganz greift. 😔

Gruss Alex

OFF TOPIC

BSI erhöht Sicherheit in LibreOffice
https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldu ...

Unsere Steuergelder werden doch mal sinnvoll eingesetzt.

Schleswig-Holstein verabschiedet sich von Microsoft
https://www.cio.de/a/schleswig-holstein-verabschiedet-sich-von-microsoft ...

Moin Zusammen,

auf das folgende bin ich durch den Artikel von WinFuture ...

https://winfuture.de/news,144444.html

... erst aufmerksam geworden.

Microsoft betont jedoch, dass die Wahrscheinlichkeit, dass die Lücke ausgenutzt wird, gering ist. Microsoft erklärt die Schwachstelle folgendermaßen:
"In einem webbasierten Angriffsszenario könnte ein Angreifer eine Website hosten oder eine kompromittierte Website nutzen, die speziell gestaltete Dateien enthält, um die Sicherheitslücke auszunutzen." Der Angreifer kann den Benutzer jedoch nicht dazu zwingen, die Website zu besuchen, so Microsoft.
"Stattdessen müsste er den Benutzer dazu bringen, auf einen Link zu klicken - üblicherweise durch eine Verlockung in einer E-Mail oder Instant Messenger-Nachricht - und dann die speziell gestaltete Datei zu öffnen", heißt es weiter.

Zuerst dachte ich, dass sich WinFuture hier wohl einen schlechte Scherz/Fehler geleistet hat, da diese Methode schon stand heute zu den banalsten und am weitesten verbreiteten Angriffen gehört.
Dann habe ich mir jedoch die Meldung von Microsoft selbst nochmals genauer angesehen ...

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38200

... und tatsächlich steht dieser Schwachsinn genau so auch in dieser geschrieben.

"In a web-based attack scenario, an attacker could host a website (or leverage a compromised website that accepts or hosts user-provided content) that contains a specially crafted file that is designed to exploit the vulnerability. However, an attacker would have no way to force the user to visit the website. Instead, an attacker would have to convince the user to click a link, typically by way of an enticement in an email or Instant Messenger message, and then convince the user to open the specially crafted file."

😖 ... sagt mir bitte das ich gerade nur ganz schlecht träume und dass Microsoft im Jahr 2024 das nicht wirklich so geschrieben/bewertet hat. 🙏

Gruss Alex

Naja, die Anzahl der Sicherheitslücken in Libre Office und Open Office ist auch recht hoch, deswegen zu wechseln macht wenig Sinn. Zumal man sich zum Rest der Welt inkompatibel macht. Aber das ist eine andere Geschichte...

Zitat von @NordicMike:
Zumal man sich zum Rest der Welt inkompatibel macht.

Nö

Zitat von @NordicMike:

Zumal man sich zum Rest der Welt inkompatibel macht.

Wie kommst Du nur auf diesen Dummfug? Auch MS-Office unterstützt das standardisierte OpenDocument-Format. es ist eher so, daß man sich mit Microsoft-oprodukten zum rest er Wlt inkompatibel macht, weil die Standars "sehr frei" auslegen.

lks

OFF TOPIC
Es ist wichtig wie man seine Lämmchen füttert, da Schäfchen i.d.R. extreme Probleme mit einer Umstellung haben, egal von wo nach wo.

Nö

Doch

Wie kommst Du nur auf diesen Dummfug?

Die Praxis hats gezeigt. Tausch ein paar Mal ein Dokument hin und her zwischen Usern mit LibreOffice, oder OpenOffice zu Microsoft und am Ende kommt eine total kaputte Formatierung raus.

daß man sich mit Microsoft-oprodukten zum rest er Wlt inkompatibel macht

Microsoft "ist" der Rest der Welt. Schau dir die Zahlen auf Statista an.

Wer nun bei der kaputten Formatierung den OpenXML Standard nicht eingehalten hat ist dabei nicht relevant, vielleicht ist es sogar ein Bug bei Microsoft selbst, aber so kann man als User oder als Team nicht arbeiten. Man kann nur ein Werkzeug eines Herstellers wählen, der in seinem Umfeld am meisten vorhanden ist und man macht sich zum übrigen Rest der Welt inkompatibel (dieser Rest ist dann jedoch deutlich kleiner und vernachlässigbar). Das ist ja das Dilemma, dass diejenigen, die den größten Marktanteil haben, selbst bestimmen bzw auslegen können was "Standard" ist.

OFF TOPIC

Zitat von @NordicMike:

Nö

Doch

Nö

Ich habe Kunden, mich eingeschlossen, die längst mit LibreOffice + ThunderBird arbeiten, und das ohne Probleme.
Und was technisch nicht geht, lässt sich organisatorisch lösen.
Wo ein Wille, da ein Weg!
Wenn eine Seite nicht will, dann ist genau DAS das Problem, so MEINE Erfahrung.

Tausch ein paar Mal ein Dokument hin und her zwischen Usern mit LibreOffice, oder OpenOffice zu Microsoft und am Ende kommt eine total kaputte Formatierung raus.

OpenOffice sollte man nicht mehr nutzen, besser LibreOffice, LibreOffice wird auch besser unterstützt.
https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldu ...

LibreOffice lässt sich so einstellen, dass im Standard im MS365 Format gespeichert wird.
War so, is so, klappt so wunderbar.

Wenn sie zum großen Rest der Welt keinen Datenaustausch brauchen, ist das ja völlig in Ordnung. Man kann Emails ja auch in ASCII Form versenden

OFF TOPIC

Zitat von @NordicMike:
Man kann Emails ja auch in ASCII Form versenden

Das hast du sicherlich auch schon festgestellt, dass Konzerne auf HTML verzichten.
Warum das wohl so ist?

Das hast du sicherlich auch schon festgestellt, dass Konzerne auf HTML verzichten.

Ja, bei uns war das so

Warum das wohl so ist?

Weil die Linux Clients und vor allem wie Web basierten Email Reader mit HTML nicht fehlerfrei umgehen konnten.

Nachdem wir uns bei einem ganz großen Kunden, den wir für uns gewinnen wollten, blamiert haben, haben wir ganz schnell auf HTML und Office365 und Teams umgestellt. Seit dem fließt Dank dieses Kunden mehr Umsatz als je zuvor.

Zitat von @NordicMike:
Weil die Linux Clients und vor allem wie Web basierten Email Reader mit HTML nicht fehlerfrei umgehen konnten.

Das ist nicht der Grund.
Es liegt im Auge des Betrachters, setze mal die Brille der IT-Sicherheit auf.
z.B.
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Infor ...

haben wir ganz schnell auf HTML und Office365 und Teams umgestellt. Seit dem fließt Dank dieses Kunden mehr Umsatz als je zuvor.

Wenn das in der Tat so ist und ich dem Glauben schenken würde, freut mich für euch und euere Arbeitsplätze!
Solange der Kunde auch weiterhin durch Umsatz die Kosten für MS365 deckelt, wunderbar für euch.

Andere Unternehmen (müssen) prüfen, wo sich Kosten eindämmen lassen.

Ich bedauere ebenso den Einsatz von M$ in Schulen und öffentlichen Stellen.
Es gibt keinen Grund dafür, Steuergelder in dieser Form aus dem Fenster zu werfen! Mit M365 muss neben den Lizenzkosten, auch ein Arsenal an Accountschupsern bezahlt werden.

Ein Unternehmen, dessen Softwareschnittstellen nur für M$ Office ausgelegt ist, mag einen technischen Grund haben. Aber dann sollten jene Unternehmen auch diesen Grund unter Druck setzen, Alternativen anzubieten. Vielleicht noch Office 2024 on premise, aber 2029 ist wohl die letzte Deadline.

ja, es wird überall versucht den Rotstift einzusetzen, auch in der EDV. Wobei die EDV eigentlich nur wenige Prozent des Gesamtumsatzes ausmacht. Aber sparen wollen sie überall. Zu viel gespart, knallt es dann irgendwann

Ja, das mit der Sicherheit macht mir auch Sorgen, aber betrachten wir es mal von der anderen Seite: Linux und Libre Office haben auch schon einige Sicherheitslücken bzw gehabt. Die Zahl steigt mit der Popularität. Die Lücken werden am ehesten gefunden, wenn es sich lohnt dort danach zu suchen. Was ist also die beste Strategie? Ein Produkt zu nehmen, dass sich außerhalb des Mainstreams bewegt? Security By Obscurity? Oder doch lieber das kompatibelste Produkt nehmen und gas geben? Ich denke es ist unmöglich das richtige Verhältnis zwischen Kompatibilität und Angriffsrisiko zu finden, das ändert sich ja auch ständig. Ein Pessimist ist ein Optimist mit Erfahrung, so wird es Leute geben, die mit dem Risiko leben wollen und Leute denen das Risiko zu hoch ist. Es ist ja schon ein Risiko über die Straße zu gehen und trotzdem macht es jeder.

Zitat von @NordicMike:
Was ist also die beste Strategie?

Kurz und knapp: Agil, flexibel und unabhängig bleiben.
(Der Gegeneffekt wurde in den letzten 4 Jahren sehr deutlich, wer noch so weiter macht wie bisher, dem wünscht man Glück, Mitleid gibt es jedoch nicht.)

M$ Word, Excel, PowerPoint und Outlook in Version 365 haben das Rad nicht neu erfunden (Entwicklungskosten marginal), so mancher Anwender käme noch immer mit Funktionsumfang von Office 95 klar, und ohne das ständige Cloud-Gedöns, welches weitere Sicherheitsmaßnahmen einfordert. Dafür kassiert M$ aber weiterhin ordentlich ab.

konkret zu Office
Office 2016 open value war im Rahmen,
Nutzungszeit 07/2015 - 10/2025, KMU, knapp 350€ pro Nase, also knapp 35€ pro Jahr pro Nase, geringer

Verwaltungsaufwand O2016: 1x auf dem RDS Server oder Client aktiviert, fertig.
Verwaltungsaufwand O365: E-Mail Adresse, MS-Konto,.. kurz: Accountschupse notwendig, ebenso weitere technische und organisatorische Maßnahmen, welcher gern untergehen, und sei es nur die zyklischen Abokosten zu begleichen.

Daher, meine absolute Hochachtung und Respekt an die Entscheider in Schleswig-Holstein, den Umsatz bei Microsoft zu reduzieren!

Linux und Libre Office haben auch schon einige Sicherheitslücken bzw gehabt. Die Zahl steigt mit der Popularität.

Stimmt, es gibt keine Sicherheiten, nur Wahrscheinlichkeiten.

Ein Punkt noch zu Verwaltungsaufwand. Dieser ist mit dem Sync mit M365 genau so hoch wie mit einem lokalen AD. Der einzige Aufwand bleibt den Geldbeutel auf zu halten

Aber oft bucht man noch MDM dazu, füttert das Unternehmensportal, Autopilot usw. Dann wird der Aufwand geringer und günstiger als wenn man das mit Einzelprodukten on Premisses macht.

Und was ich gar nicht mag: Wenn ich ein Teams Meeting führe, klingelt mir das SIP Softphone mit einem neuen Anruf dazwischen, also überträgt man auch gleich die SIP Telefonie mit ins Teams. Kostet auch wieder was, aber dann hat man Ruhe.

Zitat von @NordicMike:
Verwaltungsaufwand.

Nö, fängt doch schon mit der Benutzeranlage hat, geh mal die einzelnen Schritte durch die du machen musst.

Beispielanforderung
Ein MA soll auf dem RDS Server mit Word und Excel arbeiten.

Office 2016 on premise (ich hoffe auch bei 2024 bleibt das so)
So machen es meine Azubies:

AD öffnen
Account erstellen (Referenzbenutzer kopieren)
Zugangsdaten übergeben

M365

M365 Portal öffnen
MFA Anmeldung = Smartphone benötigt
...

PS: Viel spannender aber ist das Troubleshooting, welches man über die Zeit in die Problemlösung investieren muss. Mir fehlt, zum Glück, noch die Langzeiterfahrung, was alles passieren kann. Es fängt schon an wenn der Benutzer seine Zugangsdaten vergessen hat.

Bei uns läuft M365 so ab:
User im AD local erstellen, Sync abwarten, fertig.

Wie machst ihr das mit dem MFA, wenn der User kein Firmen-Smartphone besitzt?

Zitat von @NordicMike:
Wie machst ihr das mit dem MFA, wenn der User kein Firmen-Smartphone besitzt?

Ganz einfach, indem wir auf M$365 verzichten.

Und wenn der User Teams benötigt um einen ganz großen Kunden an Land zu ziehen?
WeChat ist nur in Asian populär. Wir hatten einen lokalen Jitsi Server, dieser wurde jedoch nicht gut angenommen.

Zitat von @NordicMike:
Und wenn der User Teams benötigt um einen ganz großen Kunden an Land zu ziehen?

Achtung Achtung
Wir reden von Word, Excel, PowerPoint + Outlook vs. LibreOffice + Thunderbird.
Rotkäppchen, bleibt auf dem Weg.

Das hängt ja bereits alles zusammen. Teams ist eine gemeinsame Schnittstelle. Es werden ja auch Office Dokumente mit dem Kunden ausgetauscht. Seit dem brauchen wir auch keinen FTP oder Owncloud Server mehr.

Sorry, wenn du jetzt mit Teams anfängst dann kommen wir vollständig vom Thema ab.

Windows vs. Linux
M$ Word, Excel, PowerPoint + Outlook vs. LibreOffice + Thunderbird
man macht sich angeblich inkompatibel mit dem Rest der Welt (= Nö!)
Verwaltungsaufwand und Voraussetzungen M$365 vs. M$ Office 2016 on premise
... Rotkäppchen kommt vom Wege ab.

zur Info
LibreOffice + Thunderbird + MS Teams (oder Zoom) verwenden meine Kunden, viele andere sicherlich auch, auch ich.

Moin @nachgefragt,

Und wenn der User Teams benötigt um einen ganz großen Kunden an Land zu ziehen?

Achtung Achtung
Wir reden von Word, Excel, PowerPoint + Outlook vs. LibreOffice + Thunderbird.
Rotkäppchen, bleibt auf dem Weg.

ähm, das mag sein, dass für die meisten deiner Kunden Word, Excel, PowerPoint + Outlook ausreichen und deshalb diese auch einfach auf alternativen ausweichen können.

Bei grösseren Unternehmen, kommt aber ratz fatz noch wie schon von @NordicMike angesprochen noch Teams dazu, dann noch SharePoint, Project, OneDrive & Co und schon wird es mit den Alternativen schon deutlich schwieriger. 😔

Selbst bei unseren überwiegend mittelständischen Kunden, sehe ich aufgrund diverser Integrationen/Schnittstellen in z.B. CRM, ERP, DMS & Co. Systemen, ein alternatives Office eher als schwierig an.
Und bisher hat auch ehrlich gesagt, noch kein einziger unserer Kunden nach einer Alternative gefragt.

Gruss Alex

Zoom ist sogar teurer als Teams.

Mit Thunderbird bekommt man den Teams Kalender nur mit zwei zusätzlichen Plugins gesynct, die irgendwann einfach ohne Fehlermeldung ihren Dienst quittieren und der Kunde merkt es dann erst, wenn er Termine vermisst. Das ist doch Murks, Rotkäppchen hin oder her.

Die Inkompatibilität bleibt, ich hätte dir auch gerne die vermurksten Word Dateien aufgehoben, aber ich habe nicht erwartet, dass irgendwann sowas als Beweisführung notwendig wird

Die User haben ihre Dateien mit Word und Excel korrigiert und seit dem wird kein Libre mehr verwendet.

Zitat von @MysticFoxDE:
Selbst bei unseren überwiegend mittelständischen Kunden, sehe ich aufgrund diverser Integrationen/Schnittstellen

Absolut richtig, diese Abhängigkeit ist ein DICKES MINUS.
In dem Fall MUSS man Microsoft zahlen, der Standardfall, warum LibreOffice nicht eingeführt werden KANN.

Vielleicht finden sich die Kunden zusammen und fordern alternativen ein, sorry, ich träum schon wieder.

Und bisher hat auch ehrlich gesagt, noch kein einziger unserer Kunden nach einer Alternative gefragt.

Da schau her Alex,
wie unterschiedlich Anforderungen und die Menschen dahinter doch sind, das ist doch das Spannende an dem IT Beruf, nicht wahr?

Und ganz klar,
als Lizenzreseller bringt der Verkauf von M$365 ein nettes monatliches Zubrot.

Zitat von @NordicMike:
Die Inkompatibilität bleibt

Nö.

LibreOffice ist kompatibel mit M$ Office.
FreeOffice, OnlyOffice,... sicherlich auch, schauen sogar ziemlich gleich aus: https://www.freeoffice.com/de/
So mancher würde gar nicht merken, wenn man Office 2024 einführt, und es dann FreeOffice 2024 ist.

Da es sich verschiedene Softwarehersteller und damit verschiedene Produkte handelt, ergibt sich logischerweise, dass nicht alles 100%ig aufeinander abgestimmt ist.

Erfolgreich Projekte von M$ Office auf LibreOffice kann ich bestätigen.

Aber da du einen "ganz großen Kunden" gewinnen konntest, weil du M$ Office einsetzt, wer würde es nicht tun? Schließlich stecken deine Gesamtkosten ja auch in den Kosten, welche du dem Kunden in Rechnung stellst.

PS
Mal kurz vom Rotkäppchen:
Wer so einen Richtlinie §75b SGB auf dem Tisch liegen hatte, musste vielleicht auch handeln und das Gewohnte verlassen. Ich befürchte, dass mit dem M$365 Gedöns noch mehr Anforderungen kommen, oder eben "plötzlich" doch nicht mehr.

Da es sich verschiedene Softwarehersteller und damit verschiedene Produkte handelt, ergibt sich logischerweise, dass nicht alles 100%ig aufeinander abgestimmt ist.

Genau darum geht es mir, wenn ein Dokument mal zwischen verschiedenen Office Versionen hin und her getauscht wurde, ist die Formatierung im Eimer. Natürlich kann man es "kompatibel" nennen, wenn einer ein A eintippt und der andere sieht ein A. Aber so ein Dokument kann sehr komplex werden, Bilder, Tabellen, Links, Einbettungen, Layer, Notierungen ausserhalb des Textinhalts, Formatierungen.. .Wenn da mal der Wurm drinnen ist, kann der Chef mit dem Dokument nichts mehr anfangen und er wird dann selbst sagen: "Wir" steigen um oder "die" steigen um.

Zitat von @NordicMike:

Da es sich verschiedene Softwarehersteller und damit verschiedene Produkte handelt, ergibt sich logischerweise, dass nicht alles 100%ig aufeinander abgestimmt ist.

Genau darum geht es mir, wenn ein Dokument mal zwischen verschiedenen Office Versionen hin und her getauscht wurde, ist die Formatierung im Eimer.

Genau dies beobachte ich zwischen Versiedenen MS-Office-releases.

Manchmal hatten die Kunden sogar mit der indentischen version von MS-Office solche Probleme, wenn sie mit anderen Dokumente austauschten.

Ich konnte solche Probleme meist lösen, indem ich den Kunden empfahl, Open- oder LibreOffice zu verwenden, weil da meist die Formattierunge dann gestimmt hat.

lks

Moin @nachgefragt,

Und ganz klar,
als Lizenzreseller bringt der Verkauf von M$365 ein nettes monatliches Zubrot.

ja klar, daher träume ich auch jede Nacht von einem anderen nackten Auto. 🙃
Spass beiseite, der Kunde kann in seinem Tenant jederzeit seine eigene Kreditkarte hinterlegen und dann wars das mit deinem Zuverdienst als Reseller, der übrigens bei Microsoft Produkten, eh schon immer sehr bescheiden war. 😔

Gruss Alex

Zitat von @NordicMike:
Dokument kann sehr komplex werden

Das stimmt, diese nostalgischen Urgesteine kenne ich,
doch dessen Autoren sind schon längst in Rente. Die Nachfolger hatten es nicht geschafft, und murksen solange in dem "Excel ERP System" oder "BI Tool" weiter. Bei einem größeren Fehler blickt dann keiner mehr durch.

Da sind aber ganz andere Probleme in solchen Unternehmen,
also weniger, welches Office Format verwendet wird oder wie bei dir, dass "ganz große Kunden an Land zieht".

Moin @nachgefragt,

das hat fürchte ich nicht wirklich etwas mit irgendwelchen nostalgischen Urgesteinen zu tun.

https://apps.datev.de/help-center/documents/1080013

"Aufgrund der geringen Gesamtnachfrage wird bereits seit der DATEV-Programm-DVD 11.0 (2017) Apache OpenOffice™ nicht mehr von DATEV unterstützt."

Dabei ist DATEV in Deutschland mitunter eine der weitverbreitetsten Business-Anwendungen.
Und so ähnlich sieht es auch bei den anderen grossen Softwareanbieter aus, wenn es um OpenOffice & Co geht. 😔

Sprich, solange sich die Endkunden/Endanwender nicht selbst bewegen und ausreichend nach OpenOffice schreien, wird sich da auch nichts grossartig bewegen. Ein Anwender der sich jedoch einmal an das MS-Office gewöhnt hat, wird jedoch ganz sicher nicht so schnell und auch nicht freiwillig nach OpenOffice schreien. 🙃

Gruss Alex

Gruss Alex

German Information Security