Сегодня корпорация Microsoft исправила очень серьезную брешь в Microsoft Office, которая может быть использована для запуска вредоносного кода без взаимодействия с пользователем на всех версиях Windows, выпущенных за последние 17 лет.
Уязвимость, получившая идентификатор CVE-2017-11882, была исправлена в ноябрьской партии обновлении от Microsoft. Всем пользователям рекомендуется в срочном порядке установить это обновление.
Проблема, обнаруженная исследовательской группой Embedi, затрагивает редактор формул Microsoft (Microsoft Equation Editor — EQNEDT32.EXE), представляющий собой один из исполняемых файлов, установленных на компьютерах пользователей с пакетом Office.
Этот инструмент, как можно понять из названия, позволяет пользователям вставлять математические уравнения в документы Office как динамические OLE-объекты.
Эксперты обнаружили, что Microsoft по-прежнему использует версию файла EQNEDT32.EXE, скомпилированную 9 ноября 2000 года. Это значит, что код безнадежно устарел, использует устаревшие библиотеки и не использует последние функции безопасности, добавленные в ОС Windows.
Предположительно, использование старого компонента было необходимо для совместимости с документами, созданными в старых версиях MS Office.
В процессе дальнейшего изучения худшие опасения исследователя подтвердились — процесс, создаваемый EQNEDT32.EXE, не использовал никаких функций безопасности, реализованных в Windows 10 или Office.
С помощью инструмента BinScope от Microsoft разработчики, как и ожидалось, нашли уязвимость (переполнение буфера) в файле EQNEDT32.EXE.
«С помощью этой дыры можно было выполнить произвольную последовательность команд (например, загрузить произвольный файл из интернета и запустить его)», — утверждает команда Embedi.
«Одним из самых простых способов выполнения произвольного кода является запуск исполняемого файла с WebDAV-сервера, управляемого злоумышленником», — добавляют исследователи.
Также стоит отметить, что концепт уязвимости работает на всех типах архитектур (32-разрядных и 64-разрядных), не прерывает работы Office и не требует взаимодействия с пользователем.
Специалисты опубликовали видео на YouTube, на нем демонстрируются атаки на разные версии Office и Windows:
Москвич заказал на Wildberries видеокарту Gigabyte GeForce RTX 5070 Ti стоимостью около 90 тысяч рублей. Однако игровой компьютер придётся собирать позже: вместо ускорителя в коробке обнаружилась двухлитровая бутылка воды.
Распаковку покупательница предусмотрительно снимала на видео прямо в пункте выдачи заказов.
На опубликованных кадрах видно, что коробка выглядела запечатанной и была обёрнута плёнкой. Снаружи — дорогая видеокарта, внутри — жидкостное охлаждение в самом буквальном смысле.
Когда упаковку вскрыли, на месте RTX 5070 Ti лежала бутылка воды. Она, вероятно, должна была придать посылке подходящий вес и не вызвать подозрений до момента распаковки.
Пока неизвестно, где именно произошла подмена: при упаковке товара, во время транспортировки, на складе или на другом этапе доставки. Информации о результатах обращения покупательницы в Wildberries также пока нет.
История в очередной раз показала, что дорогую технику лучше проверять, не отходя от ПВЗ, причём под запись.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
