Исследователи компании Cymulate обнаружили в Microsoft Word критическую уязвимость, позволяющую удаленно выполнить произвольный код. Проэксплуатировать уязвимость можно, заставив жертву открыть вредоносный документ и кликнуть на встроенное видео.
Проблема связана с тем, как Office 2016 и более ранние версии обрабатывают видеоматериалы. Злоумышленники могут использовать ее в фишинговых атаках и отправлять жертвам документы со встроенным YouTube-видео (или любым другим online-видео), прикрывая им запущенный в фоновом режиме html- или javascript-код.
Для осуществления атаки злоумышленники должны встроить видео в документ Word, отредактировать XML-файл с именем document.xml и заменить ссылку на видео модифицированной полезной нагрузкой, открывающей менеджер загрузки Internet Explorer со встроенным файлом для выполнения кода.
По словам исследователей, именно в XML-файле и кроется наибольшая угроза. Злоумышленники могут модифицировать параметр embeddedHTML таким образом, чтобы плавающий фрейм видео перенаправлялся на нужный html- или javascript-код.
Официального исправления для уязвимости нет, и единственный способ обезопасить себя от ее эксплуатации – включить блокировку для файлов со встроенным видео. Похоже, Microsoft не будет выпускать патч, поскольку ПО работает как положено. «Продукт правильно интерпретирует HTML, как и было задумано, и работает по тому же принципу, что и другие аналогичные продукты», приводит The Register слова старшего директора компании Джеффа Джонса.
Источник: securitylab.ru
