######################################################################

CERT-Bund -- Warn- und Informationsdienst

######################################################################

KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN

ID: CB-K04/0818
Titel: Pufferueberlaufschwachstelle in Microsofts JPEG-Verarbeitung
Datum: 15.09.2004
Software: Windows XP, Server 2003, Internet Explorer 6, MS Office, MS Visio, MS Visual Studio .NET, MS Picture It!, MS Digital Image, MS Producer for Microsoft Office, PowerPoint
Version: s.u.
Plattform: Microsoft Windows
Auswirkung: Ausfuehren beliebigen Programmcodes mit Benutzerrechten
Remoteangriff: Ja
Risiko: hoch
Bezug:

######################################################################

In einer Routine zur Verarbeitung von JPEG-Bildern ist eine
Pufferueberlaufschwachstelle entdeckt worden. Diese Schwachstelle
erlaubt einem entfernten Angreifer Code mit den Rechtend es lokalen
Benutzers auf dem lokalen System zur Ausfuehrung zu bringen. Betroffen
von dieser Schwachstelle sind folgende Produkte:

o Microsoft Windows XP <= SP1 /64-bit SP1 /64-bit Version 2003
o Microsoft Windows Server 2003 /64-bit
o Microsoft Office XP SP3 undEinzelkomponenten (Outlook 2002, Word
2002, Excel 2002, Powerpoint 2002, Frontpage 2002, Publisher 2002)
o Microsoft Office 2003 undEinzelkomponenten (Outlook 2003, Word 2003,
Excel 2003, Powerpoint 2003, Frontpage 2003, Publisher 2003,
InfoPath 2003, OneNote 2003)
o Microsoft Project 2002 <= SP1
o Microsoft Project 2003
o Microsoft Visio 2002 <= SP2
o Microsoft Visio 2003
o Microsoft Visual Studio .NET 2002 (Visual Basic .NET, Visual C#
.NET, Visual C++ .NET)
o Microsoft Visual Studio .NET 2003 (Visual Basic .NET, Visual C#
.NET, Visual C++ .NET, Visual J# .NET )
o Microsoft .NET Framework version 1.0 SDK <= SP2
o Microsoft Picture It! 2002
o Microsoft Greetings 2002
o Microsoft Picture It! 7, Microsoft Picture It! 9
o Microsoft Digital Image Pro 7.0, Microsoft Digital Image Pro 9
o Microsoft Producer for Microsoft Office PowerPoint

Mit freundlichen Gruessen
das Team CERT-Bund

=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-Bund

Telefon +49-228-9582-110 / FAX +49-228-9582-427
/
=================================================================

=======================================================================
HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
=======================================================================