Alert GCSA-09054 - Vulnerabilita' in Microsoft Office Web Components

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

     Alert ID : GCSA-09054
         Data : 14 Luglio 2009
       Titolo : Vulnerabilita' in Microsoft Office Web Components (973472)

******************************************************************


:: Descrizione del problema

E' stata scoperta una nuova vulnerabilita' in Microsoft Office Web Components
che potrebbe essere sfruttata da un attaccante remoto per compromettere un sistema vulnerabile.
La vulnerabilita' e' causata da un errore di corruzione della memoria nei 
controlli ActiveX "OWC10.DLL" e "OWC11.DLL" e potrebbe essere sfruttata da un 
attaccante remoto per eseguire codice arbitrario.


:: Software interessato

Microsoft Office XP Service Pack 3
Microsoft Office 2003 Service Pack 3
Microsoft Office XP Web Components Service Pack 3
Microsoft Office 2003 Web Components Service Pack 3
Microsoft Office 2003 Web Components for the 2007 Microsoft Office system 
Service Pack 1
Microsoft Internet Security and Acceleration Server 2004 Standard Edition 
Service Pack 3
Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition 
Service Pack 3
Microsoft Internet Security and Acceleration Server 2006
Microsoft Internet Security and Acceleration Server 2006 Supportability Update
Microsoft Internet Security and Acceleration Server 2006 Service Pack 1
Microsoft Office Small Business Accounting 2006


:: Impatto

Esecuzione di codice arbitrario
Compromissione del sistema


:: Soluzioni

Non e' ancora disponibile una soluzione definitiva per la correzione
della vulnerabilita' ma sono state fornite, all'interno dell'avviso,
delle istruzioni (workaround) per bloccare i possibili veicoli di attacco.

Consultare l'approfondimento proposto nell'articolo Microsoft
Knowledge Base http://support.microsoft.com/kb/973472 per eseguire
automaticamente le correzioni con l'applicazione "Microsoft Fix it".


:: Riferimenti

Microsoft Security Advisory (973472)
http://www.microsoft.com/technet/security/advisory/973472.mspx

The Microsoft Security Response Center (MSRC)
http://blogs.technet.com/msrc/archive/2009/07/13/microsoft-security-advisory-973472-released.aspx
http://blogs.technet.com/srd/archive/2009/07/13/more-information-about-the-office-web-components-activex-vulnerability.aspx

Secunia - Ms DirectShow MPEG2TuneRequest ActiveX Control Buffer Overflow
http://secunia.com/advisories/35800

VuPEN
http://www.vupen.com/english/advisories/2009/1867

Securityfocus
http://www.securityfocus.com/bid/35642

Mitre's CVE ID
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1136

-----BEGIN PGP SIGNATURE-----

iQCVAwUBSlxevvOB+SpikaiRAQJxawP9Ez26zVigT7oGgopJD26s61UbdBUV/ANS
xuJPPu66KMrQSSrkr2sQQEMBPk2dB+kIw77Fvmjvl0Z4iUQ+B0sCEh9trC3dBeqG
ps7MJ320BNdhSHq2WQC5lU37djrKwI9TNdxaMZtODwID1iT5wthrro8eldVNJmJr
+vLloR3+Y2s=
=ZFV0
-----END PGP SIGNATURE-----