home *** CD-ROM | disk | FTP | other *** search
/ Hackers Toolkit v2.0 / Hackers_Toolkit_v2.0.iso / HTML / archive / Texts / mac-excel98.txt < prev    next >
Text File  |  1999-11-04  |  5KB  |  109 lines
  1. Subject: [MM] Giant Excel security hole
  2. Date: Thu, 12 Nov 1998 16:09:22 -0500
  3. x-sender: klein@mail.dcds.edu
  4. From: Steve Klein <klein@dcds.edu>
  5. To: "Mac Mgrs" <mac-mgrs@smtp2.san.cerf.net>
  6. Mime-Version: 1.0
  7. Sender: owner-mac-mgrs@CERF.net
  8. Status:
  9.  
  10. Question (short version):
  11. Does anyone know of a way to protect my Macs from Excel's confused
  12. pathname bug?
  13.  
  14. Question (long version):
  15. One of my students accidentally stumbled on an bug in Microsoft Excel.
  16. It probably affects every Mac running Excel, and allows users to bypass
  17. both FoolProof and At Ease security.
  18.  
  19. The easiest way to describe the problem is to explain how to reproduce it.
  20. 1) Mount a floppy disk on your desktop
  21. 2) rename the floppy disk "Macintosh HD" (or whatever your hard drive is
  22. named)
  23. 3) Use Microsoft excel and try to save a file on the floppy.
  24.  
  25. The file gets saved on the hard drive.  Excel is the only application
  26. I've seen that exhibits this behavior.  Both Excel 4.0 and Excel 98.
  27.  
  28. It gets worse.  If you create a folder hierarchy on the floppy that
  29. mimics the hard drive, you can save files anywhere on the hard drive.
  30.  
  31. It gets even worse.  It lets you replace a file with the same name.  It
  32. doesn't even prompt you with the "file already exists" dialog.  For
  33. example, I just saved an Excel spreadsheet called Finder.  I tried to
  34. save it in a folder called "System Folder" on an otherwise empty floppy
  35. disk called "Macintosh HD."  It did exactly what you'd think it would do.
  36.  
  37. (Fortunately, I had made a backup copy of my Finder before I started this
  38. experiment.)
  39.  
  40. We have some Macs with FoolProof Security (v 3.1.1), and others with At
  41. Ease for Workgroups (v 5.x).  Though both are set to prevent users from
  42. saving files to hard drives, this bug in Excel neatly sidesteps both
  43. programs.
  44.  
  45. Any ideas?  Now that two students know about it, it's only a matter of
  46. time until they all do.
  47.  
  48. --
  49. Steve Klein
  50. Technology Support Specialist       email: klein@dcds.edu
  51. Detroit Country Day School          phone: 248 646-7717 Ext. 1119
  52.  
  53. Subject: [MM] Giant Excel security hole (updated)
  54. Date: Thu, 12 Nov 1998 16:28:11 -0500
  55. x-sender: klein@mail.dcds.edu
  56. From: Steve Klein <klein@dcds.edu>
  57. To: "Mac Mgrs" <mac-mgrs@smtp2.san.cerf.net>
  58. Mime-Version: 1.0
  59. Sender: owner-mac-mgrs@CERF.net
  60. Status:
  61.  
  62. Although it might not have been clear from my earlier post, that Excel
  63. bug also affects users who don't use ANY security software.  The bug
  64. affects EVERYONE running excel, not just users on "protected" Macs.
  65.  
  66. --
  67. Steve Klein
  68. Technology Support Specialist       email: klein@dcds.edu
  69. Detroit Country Day School          phone: 248 646-7717 Ext. 1119
  70.  
  71.  
  72. -------------> Please post QUESTIONS and SUMMARIES only!! <---------------
  73. * Please Note the changed address of the MM website http://www.mac-mgrs.org
  74. To subscribe or unsubscribe:  http://www.mac-mgrs.org/mm/subscriptions.html
  75. To mail questions and summaries to the list: mailto:mac-mgrs@lists.cerf.net
  76. The List Mom (problems, issues, etc.): mailto:owner-mac-mgrs@lists.cerf.net
  77.  
  78. This is how it was reported on Macintouch <http://www.macintouch.com>
  79.  with some additional info on how this affects perr-to-peer networks:
  80.  
  81. We verified yesterday a nasty Excel bug reported on the Mac Managers
  82. mailing list: If you have a hard disk and a floppy both with the same name,
  83. Excel will save a file onto the hard drive when you tell it to save to the
  84. floppy. Among other problems, this may succeed in bypassing disk security
  85. controls provided by such programs as At Ease for Workgroups and FoolProof
  86. Security. Incredibly, a MacInTouch reader reports that Microsoft has known
  87. about it for years:
  88.  
  89. [from original report] "Excel is the only application I've seen that
  90. exhibits this behavior. Both Excel 4.0 and Excel 98. It gets worse. If you
  91. create a folder hierarchy on the floppy that mimics the hard drive, you can
  92. save files anywhere on the hard drive. It gets even worse. It lets you
  93. replace a file with the same name. It doesn't even prompt you with the
  94. "file already exists" dialog. For example, I just saved an Excel
  95. spreadsheet called Finder. I tried to save it in a folder called "System
  96. Folder" on an otherwise empty floppy disk called "Macintosh HD." It did
  97. exactly what you'd think it would do."
  98.  
  99. [MacInTouch reader] "Odd behavior in Excel caused by two volumes with the
  100. same name has been seen for a number of versions, at least back to Excel
  101. 4.0! This first showed itself to me when we had users who could not run
  102. macros or deal with external file references in spreadsheets under version
  103. 4.0. It turned out they had all mounted each others drives with file
  104. sharing, and each had a NETWORK volume called "Macintosh HD" on their
  105. desktop. Since their hard disk was also named "Macintosh HD", Excel freaked
  106. out! This caused Excel no end of troubles. This was reported to Microsoft
  107. through our Select agreement back in 1994 or so...obviously they never
  108. fixed the bug."
  109.