What it is about

Die Microsoft Office Suite beinhaltet zahlreiche Büroanwendungen wie Textverarbeitung, Tabellenkalkulation, Datenbank und weitere Applikationen. Microsoft Office Online Server ist ein Serverprodukt, das browserbasierte Versionen von Word, PowerPoint, Excel und OneNote bereitstellt. Microsoft Sharepoint ist ein Portalsystem für die zentrale Verwaltung von Dokumenten und Anwendungen. Die Inhalte werden u. a. über Webseiten zur Verfügung gestellt. Microsoft 365 Apps ist eine Office Suite für zahlreiche Büroanwendungen. Microsoft Teams ist ein Kollaborations-, Kommunikations- und Videokonferenz-Tool. Ein Angreifer kann mehrere Schwachstellen in verschiedenen Microsoft Office und SharePoint Produkten ausnutzen, um Administratorrechte zu erlangen, beliebigen Code auszuführen, Spoofing-Angriffe durchzuführen, Daten zu manipulieren oder vertrauliche Informationen offenzulegen.

Under what conditions?

The BSI does not name any particular preconditions. Exploitable remotely according to the BSI.

What can happen in the worst case

An attacker could use the vulnerability to

• Administratorrechte zu erlangen
• beliebigen Code auszuführen
• Spoofing-Angriffe durchzuführen
• Daten zu manipulieren oder vertrauliche Informationen offenzulegen

Am I affected?

Affected according to the BSI:

• Microsoft Word 2016
• Microsoft Office 2016
• Microsoft Office 2019
• Microsoft Excel for Android
• Microsoft SharePoint Enterprise Server 2016
• Microsoft SharePoint Server 2019
• Microsoft 365 Apps
• Microsoft Office LTSC for Mac 2021
• Microsoft Office LTSC 2021
• Microsoft SharePoint Server Subscription Edition
• Microsoft Teams for Android
• Microsoft PowerPoint for Android

and 6 more

The installed version is usually shown under “Help → About” or in the device’s admin interface.

What helps?

Install the updates provided by the vendor; details in the sources below.

Is the vulnerability already being exploited?

None of the CVEs is in the CISA catalogue of exploited vulnerabilities. That does not mean there are no attacks, only that none are documented.