Microsoft Office: scoperti bug nascosti da molti anni nel codice legacy.

I ricercatori di sicurezza informatica di Check Point Software Technologies Ltd. hanno affermato di aver identificato quattro vulnerabilità nella suite di software Microsoft Office, tra cui Excel e Word.

Fortunatamente Microsoft è già corsa ai ripari, inserendo nel suo Patch Tuesday di giugno gli aggiornamenti che correggono i quattro bug con codice: CVE-2021-31174, CVE-2021-31178, CVE-2021-31179.

Se sfruttate, queste vulnerabilità consentirebbero agli hacker di iniettare codice dannoso nei documenti di Office, come Word, Excel e Outlook, e di inviarli a bersagli inconsapevoli e di prendere il controllo dei computer, avviare un attacco ransomware, accedere ai dati e leggere i file, hanno affermato i ricercatori.

La fonte dei bug deriva da errori di codifica in una funzionalità di creazione di grafici chiamata MSGraph che è stata utilizzata nel pacchetto software Office dal 1995. Ciò porta i ricercatori a credere che i difetti di sicurezza siano in circolazione “da diversi anni”.

Check Point ha scoperto le vulnerabilità presenti su MSGraph attraverso una attività di “fuzzing”. Il fuzzing è una tecnica di test del software automatizzata che tenta di trovare dei bug di sicurezza inserendo casualmente input di dati non validi e imprevisti in un programma, al fine di trovare errori di codifica e falle di sicurezza. Utilizzando la tecnica, CPR ha scoperto funzioni vulnerabili all’interno di MSGraph. Controlli del codice simili hanno confermato che la funzione vulnerabile era comunemente utilizzata su più prodotti Microsoft Office diversi, come Excel, Office Online Server ed Excel per OSX.

Gli hacker potrebbero utilizzare la vulnerabilità all’interno di quello strumento di creazione di grafici per inviare alle vittime un file che include il grafico dannoso. Una volta scaricato e aperto il file, viene attivata la vulnerabilità.

I ricercatori invitano gli utenti del software Windows ad aggiornare il prima possibile. Hanno informato Microsoft della vulnerabilità e i problemi sono stati risolti, afferma Check Point Software.

“Le vulnerabilità riscontrate interessano quasi l’intero ecosistema di Microsoft Office. È possibile eseguire un tale attacco su quasi tutti i software Office, inclusi Word, Outlook e altri”

Riporta Yaniv Balmas, responsabile della ricerca informatica presso Check Point Software e aggiunge:

“Abbiamo appreso che le vulnerabilità sono dovute ad errori nel codice legacy. Uno degli insegnamenti principali della nostra ricerca è che il codice legacy continua a essere un anello debole nella catena della sicurezza, specialmente in software complessi come Microsoft Office. Anche se nella nostra ricerca abbiamo trovato solo quattro vulnerabilità sulla superficie di attacco, non si può mai dire quante altre vulnerabilità come queste siano ancora in giro in attesa di essere trovate. Esorto vivamente gli utenti di Windows ad aggiornare immediatamente il loro software, poiché ci sono numerosi vettori di attacco possibili da parte di un utente malintenzionato che può attivare le vulnerabilità rilevate”.

Fonte

https://blog.checkpoint.com/2021/06/08/four-security-vulnerabilities-were-found-in-microsoft-office/

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks