发布日期：2009-08-11
更新日期：2009-08-13

受影响系统：

Microsoft ISA Server 2006 SP1
Microsoft ISA Server 2004 SP3
Microsoft Office XP SP3
Microsoft Office 2003 Service Pack 3
Microsoft Office Web Components XP SP3
Microsoft Office Web Components 2003 SP3
Microsoft Office Web Components 2003 SP1 for Office 2007
Microsoft Office Small Business Accounting 2006

描述：

---

BUGTRAQ  ID: 35991
CVE(CAN) ID: CVE-2009-2496

Microsoft Office是非常流行的办公软件套件。

Office Web组件是用于向Web发布电子表格、图表和数据库的COM控件集，其中的OWC10.Spreadsheet.10 ActiveX控件没有正确地验证对BorderAround()函数所传送的输入参数。如果用户受骗访问了恶意网页，就可能触发堆内存破坏，导致执行任意代码。

<*来源：Peter Vreugdenhil
  
  链接：http://secunia.com/advisories/35800/
        http://marc.info/?l=bugtraq&m=125003204517449&w=2
        http://www.microsoft.com/technet/security/bulletin/MS09-043.mspx?pf=true
        http://www.us-cert.gov/cas/techalerts/TA09-223A.html
*>

建议：

---

临时解决方法：

* 禁止尝试在Internet Explorer中运行Office Web Components库。
* 注销Office Web Components库。

厂商补丁：

Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS09-043）以及相应补丁:
MS09-043：Vulnerabilities in Microsoft Office Web Components Could Allow Remote Code Execution (957638)
链接：http://www.microsoft.com/technet/security/bulletin/MS09-043.mspx?pf=true

浏览次数：2707
严重程度：0（网友投票）