Dit wordt saai, elke week een lek in Excel en in Word.

Zei men niet bij Vista: "Alle kwetsbaarheden die we nu
kennen zijn weg bij Vista", als de kwetsbaarheden zo snel
opduiken zal men eeuwig aan Vista moeten werken.

Zijn deze lekken ook in Office 2007 aanwezig?

vista is niet office.

Het regent lekken in Excell..........pfff.

Vista is Office niet inderdaad, maar ik denk wel dat ze
dezelfde technieken zullen gebruiken tegen lekken. Dus...

Ik heb via Flash Killer voor elkaar gekregen dat een flash element niet in
Excel uitgevoerd kan worden. Deze Flash Killer vindt men in het
programma SpywareBlaster via Tools en Flash Killer.

Wanneer er via Firefox een flash object wordt geselecteerd en geopend in Excel 2003 SP2 dan wordt flash gewoon uitgevoerd. Wanneer daarop de Flash Killer voor Internet Explorer wordt aangevinkt, werkt de flash niet meer en kan het lek dus ook niet uitgebuit worden. Opvallend is wel dat er een fout kan optreden in Excel waardoor een document hersteld moet worden. Wie IE 6 SP1 heeft moet eens proberen of dit plakken van een Flash in Excel 2003 ook uitvoerbaar is als SpywareBlaster wordt gebruikt. Als dit lukt, dan is het lek kennelijk via een eenvoudige manier onwerkzaam te maken.

Er zou nog verder onderzocht moeten worden of dit ook in andere situaties en/of configuraties werkt (zonder selecteren en plakken in de browser) Iedereen wordt dan ook uitgenodigd dit eens op zijn of haar systeem te onderzoeken. Uitgeprobeerd moet worden of het alleen de Flash Kill aanvinken in SpywareBlaster voldoende is of niet.

Getest op: Windows XP home SP2, Microsoft Office 2003 SP2 en alle
patches voor Office en Windows. Gebruikte browser: Firefox 1.5.0.4. Er is
getest op Internet Explorer 7 Beta 2, maar daar kon geen flash worden
geopend en geplakt in Excel 2003.

en beide zijn nog niet echt uit, dus beetje voorbarig om
daar nu al over te zeuren.

Redactie op woensdag 21 juni 2006 12:28:
> Of de gebruiker de kill bit zelf moet instellen of dat
> deze al ingesteld staat is niet helemaal duidelijk.

Dat zul je zelf moeten doen, en het heeft als bijwerking dat
Flash in webpages bekeken met MSIE niet meer werkt.

Een "kill bit" voor een ActiveX object (een sub-programma
dat binnen MSIE maar ook andere applicaties kan worden
uitgevoerd) zorgt ervoor dat dat ActiveX object wordt
geblokkeerd in Internet Explorer (tenminste, dat is de
bedoeling, maar ook dat kon Microsoft niet in 1x goed, zie
http://isc.sans.org/diary.php?storyid=1078).

Het heet een "kill bit" omdat het een bitje is in een rijtje
van 32 bits die als "vlaggen" (0 of 1, d.w.z. uit of aan)
worden gebruikt om verschillende zaken te beinvloeden. Het
11e bit van rechts in deze "ActiveX Compatibility Flags" is
het killbit (binair 10000000000 is hexadecimaal 400 is
decimaal 1024). Meerdere bits kunnen "op staan" zonder
elkaar te beinvloeden. Decimaal wordt dat onleesbaar en
binaire getallen zijn te lang, vandaar dat dit soort waardes
meestal in "hex" worden getoond.

Een voorbeeld van een gekillbit ActiveX object is
ADODB.Stream, waarin mij geen lek bekend is maar dat door
veel exploits is misbruikt om executable files op de schijf
van het slachtoffer te schrijven (en op de meeste systemen
niet nodig is). Na aandringen vanuit de security community
is dat ding in een van de vele MSIE patches "gekillbit". Zie
"How to disable the ADODB.Stream object from Internet
Explorer" in
http://support.microsoft.com/default.aspx?kbid=870669.

De bekendmaker van het Excel lek, Debasis Mohanty, vermeldde
(namens Microsoft) dat Office XP en 2003 deze voor MSIE
bedoelde killbits ook checken en honoreren (dat wist
ik nog niet). Dus door een killbit op het Flash object te
zetten zullen zowel IE als genoemde Office versies geen
embedded Flash meer uitvoeren.

Behalve met tools van derden kun je dit ook zelf met
regedit. Open bovenstaande ADODB.Stream webpage en kies voor
Nederlands indien nodig (N.B. om deze registry wijziging te
mogen maken zul je in moeten loggen als een beheerder, of
met "run as" regedit onder die hoedanigheid draaien). Ga in
de MS webpage naar "Handmatige procedure" en volg daar alle
aanwijzigingen. Alleen moet je:

{00000566-0000-0010-8000-00AA006D2EA4}

(voor ADODB.Stream, die staat waarschijnlijk al bovenaan de
lijst in regedit) vervangen door de "GUID" van Flash:

{D27CDB6E-AE6D-11cf-96B8-444553540000}

Alle overige handelingen zijn hetzelfde.

Ik zou daarna de computer opnieuw opstarten, dit om er zeker
van te zijn dat Office niet naar gecachte registry gegevens
zit te kijken.

Als je niet zonder Flash kunt: op Firefox hebben killbits
geen effect (omdat Firefox geen ActiveX ondersteunt en Flash
daarin op een andere manier wordt aangeroepen).

De vraag is alleen of het killbitten van Flash in dit geval
veel zin heeft. Het zou mij niet verbazen als dit "lek" ook
met andere ActiveX objecten is te exploiten, en als dat zo
is verwacht ik geen Excel patch op korte termijn. Ik vrees
dat we Office documenten voortaan gewoon als executable
files zullen moeten behandelen.

Dit is geen lek, dit is een feature. Wel rot voor je als het
een malicious flash applet was.