Wieder Sicherheitslücke in Microsoft-Office-Anwendung entdeckt

Das digitale Zeitalter ist Segen und Fluch zugleich. Mit wenigen Klicks lassen sich heutzutage Dokumente signieren und verschicken. Aber der Cyberangriff auf die Helmholtz-Gesellschaft hat aktuell wieder gezeigt, dass selbst gut geschützte Systeme zu knacken sind. Und das ist nur die Spitze des Eisbergs. Wenn die Nutzer und Nutzerinnen beispielsweise nur ein einziges Mal unachtsam sind und Schadsoftware öffnen, die sie getarnt in einer E-Mail erhalten haben, gewähren sie womöglich Hackern Zugriff auf ihren Computer, ohne es zu wissen.

Jede neue Möglichkeit im Netz geht daher mit Optionen für mehr Sicherheit einher. Allerdings greifen die bei Microsoft nicht immer. Das hat ein deutsches Forschungsteam gezeigt. Beteiligt waren Wissenschaftler und Wissenschaftlerinnen des Lehrstuhls für Netz- und Datensicherheit am Horst-Görtz-Institut für IT-Sicherheit an der Ruhr-Universität Bochum und der Hochschule Mainz.

Microsoft revolutioniert Office-Anwendungen – mit der Künstlichen Intelligenz

Microsoft-Dokumente sind nur teilweise signiert

„Das Ziel einer digitalen Signatur ist es, die Integrität eines Dokumentes zu bestätigen“, sagt Simon Rohlmann, der inzwischen an der Hochschule Mainz arbeitet. Das funktioniert nach einem einfachen Prinzip: Auf der Basis von Public-Key-Algorithmen erzeugt der Verwender mit einem privaten Schlüssel eine Signatur, die auf der Seite des Empfängers über einen öffentlichen Schlüssel geprüft werden kann. Beide Seiten sollten sich also eigentlich darauf verlassen können, dass der Inhalt des Dokuments nicht verändert wurde. Das ist allerdings ein Irrtum, wie die Forschenden in ihrer Forschungsarbeit „Every Signature is Broken: On the Insecurity of Microsoft Office’s OOXML Signatures“ offengelegt haben.

Denn es gibt eine Schwachstelle, die bei Microsoft Manipulationen ermöglicht: „Wir haben erkannt, dass Dokumente nur teilweise signiert sind. Dadurch könnte man beispielsweise neue Inhalte hinzufügen oder signierte Inhalte ausblenden, ohne, dass es jemand bemerkt“, sagt Rohlmann.

Fünf Schwachstellen für Cyberangriffe

Das Team hatte im ersten Schritt insgesamt fünf verschiedene Möglichkeiten gefunden, über die Cyberangriffe erfolgen können. Alle haben eine gemeinsame Grundlage, und zwar strukturelle Unstimmigkeiten im Office-System von Microsoft. Laut der Forschenden würden über den OOXML-Standards nur Teilbereiche des Dokumentenpakets signiert, was die komplette Signatur nicht nur wertlos mache, sondern Dokumentenfälschungen eigentlich sogar erleichtere. Rohlmann erklärt: „Ein Angreifer könnte beispielsweise signierte Dokumente verwenden, um Angriffe auf der Grundlage von Social Engineering besonders vertrauenswürdig erscheinen zu lassen, da das Dokument eine gültige Signatur eines Vorgesetzten enthält.“

SAP und Microsoft wollen mit KI gegen Fachkräftemangel vorgehen

Davon betroffen seien XML-basierte Dateiformate, die von Microsoft schon seit dem Jahr 2007 eingesetzt werden und in der Regel an dem Suffix -X im Dateinamen zu erkennen sind, also zum Beispiel .docx oder .xlsx. Sie nehmen wenig Speicherplatz in Anspruch und sollten eigentlich besonders sicher sein.



Microsoft hat Sicherheitslücken nicht vollständig beseitigt

Dass es bei Microsoft in puncto Sicherheit hakt, ist nicht neu. Schon im vergangenen Jahr setzen die Forschenden das Unternehmen darüber in Kenntnis und informierten parallel die zuständige Standardisierungsbehörde. Geschlossen hat Microsoft die Schwachstellen allerdings bislang noch nicht. Denn das Team hat auch die neue LTSC-Version von Microsoft Office 2021 (Version 2108 (Build 14332.20517)) untersucht – und wieder eine Sicherheitslücke entdeckt, die für Angriffe genutzt werden könnte. Zumindest seien in der Retail-Version von Microsoft Office 2021 (Version 2305 (Build 16501.20210)) die meisten der erkannten Schwachstellen nicht mehr vorhanden.

Die Forschenden überprüfen regelmäßig Signaturen, die im Berufsleben oder im behördlichen Kontext eine Rolle spielen. Auf diese Weise wollen sie zur IT-Sicherheit beitragen und die Wahrscheinlichkeit für unbemerkte Manipulationen senken.

Mehr lesen zum Thema Cybersicherheit:

• Die Wirtschaft steht in Sachen Cybersicherheit unter Druck
• Cybersicherheit: Diese Skills brauchen Sie im Security-Team