CVE-2002-0616
CVSS5.1
发布时间 :2002-08-12 00:00:00
修订时间 :2008-09-05 16:28:29
NMCO    

[原文]The Macro Security Model in Microsoft Excel 2000 and 2002 for Windows allows remote attackers to execute code by attaching an inline macro to an object within an Excel workbook, aka the "Excel Inline Macros Vulnerability."


[CNNVD]Microsoft Excel嵌入对象内联宏代码执行漏洞(MS02-031)(CNNVD-200208-222)

        
        Microsoft Excel是Microsoft公司开发的电子表格办公系统软件。
        Microsoft Excel在处理Excel spreadsheet中的嵌入对象时存在漏洞,可导致包含的内联宏代码绕过宏安全模型检查而执行。
        在嵌入到Excel工作簿的对象中包含内联宏代码的情况下,内联宏代码会不被宏安全模型识别,导致可以绕过安全检查而以EXCEL进程权限自动执行。
        

- CVSS (基础分值)

CVSS分值: 5.1 [中等(MEDIUM)]
机密性影响: PARTIAL [很可能造成信息泄露]
完整性影响: PARTIAL [可能会导致系统文件被修改]
可用性影响: PARTIAL [可能会导致性能下降或中断资源访问]
攻击复杂度: HIGH [漏洞利用存在特定的访问条件]
攻击向量: [--]
身份认证: NONE [漏洞利用无需身份认证]

- CPE (受影响的平台与产品)

cpe:/a:microsoft:excel:2002:sp1Microsoft Excel 2002 SP1
cpe:/a:microsoft:excel:2002Microsoft Excel 2002
cpe:/a:microsoft:excel:2000Microsoft Excel 2000
cpe:/a:microsoft:office:2000Microsoft Office 2000
cpe:/a:microsoft:office:xpMicrosoft Office XP
cpe:/a:microsoft:excel:2000:sp2Microsoft Excel 2000 SP2
cpe:/a:microsoft:excel:2000:sr1Microsoft Excel 2000 SR1

- OVAL (用于检测的技术细节)

未找到相关OVAL定义

- 官方数据库链接

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2002-0616
(官方数据源) MITRE
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2002-0616
(官方数据源) NVD
http://www.cnnvd.org.cn/vulnerability/show/cv_cnnvdid/CNNVD-200208-222
(官方数据源) CNNVD

- 其它链接及资源

http://www.microsoft.com/technet/security/bulletin/ms02-031.asp
(VENDOR_ADVISORY)  MS  MS02-031
http://www.securityfocus.com/bid/5063
(UNKNOWN)  BID  5063
http://www.iss.net/security_center/static/9397.php
(UNKNOWN)  XF  excel-inline-macro-execution(9397)

- 漏洞信息

Microsoft Excel嵌入对象内联宏代码执行漏洞(MS02-031)
中危 设计错误
2002-08-12 00:00:00 2005-10-12 00:00:00
远程  
        
        Microsoft Excel是Microsoft公司开发的电子表格办公系统软件。
        Microsoft Excel在处理Excel spreadsheet中的嵌入对象时存在漏洞,可导致包含的内联宏代码绕过宏安全模型检查而执行。
        在嵌入到Excel工作簿的对象中包含内联宏代码的情况下,内联宏代码会不被宏安全模型识别,导致可以绕过安全检查而以EXCEL进程权限自动执行。
        

- 公告与补丁

        临时解决方法:
        如果您不能立刻安装补丁或者升级,CNNVD建议您采取以下措施以降低威胁:
        * 不要随意打开不可信的Excel文件。
        厂商补丁:
        Microsoft
        ---------
        Microsoft已经为此发布了一个安全公告(MS02-031)以及相应补丁:
        MS02-031:Cumulative Patches for Excel and Word for Windows (Q324458)
        链接:
        http://www.microsoft.com/technet/security/bulletin/MS02-031.asp

        补丁下载:
         * Office Product Updates site:
        
        http://office.microsoft.com/productupdates/default.aspx

         * Microsoft Excel 2000 for Windows:
          
         o Client Installation:
        
        http://office.microsoft.com/downloads/2000/exc0901.aspx

         o Administrative Installation:
        
        http://www.microsoft.com/office/ork/xp/journ/exc0901a.htm

         * Microsoft Excel 2002 for Windows:
          
         o Client Installation:
        
        http://office.microsoft.com/downloads/2002/exc1002.aspx

         o Administrative Installation:
        
        http://www.microsoft.com/office/ork/xp/journ/exc1002a.htm

         * Microsoft Word 2002:
          
         o Client Installation:
        
        http://office.microsoft.com/downloads/2002/wrd1004.aspx

         o Administrative Installation:
        
        http://www.microsoft.com/office/ork/xp/journ/wrd1004a.htm

- 漏洞信息

5174
Microsoft Excel Inline Macro Arbitrary Code Execution
Remote / Network Access Input Manipulation
Loss of Integrity Patch / RCS
Exploit Unknown Vendor Verified

- 漏洞描述

Microsoft Excel contains a flaw related to the in-line macro code feature that may allow an attacker to bypass security restrictions.

- 时间线

2004-04-08 Unknow
Unknow Unknow

- 解决方案

Currently, there are no known workarounds or upgrades to correct this issue. However, Microsoft Corporation has released a patch to address this vulnerability.

- 相关参考

- 漏洞作者

 

 

关于SCAP中文社区

SCAP中文社区是国内第一个以SCAP为主题的中文开放社区。了解更多信息,请查阅[关于本站]

版权声明

CVE/CWE/OVAL均为MITRE公司的注册商标,它们的官方数据源均保存在MITRE公司的相关网站