Το τμήμα έρευνας της Check Point Software Technologies, Check Point Research (CPR), εντόπισε τέσσερις ευπάθειες ασφαλείας που επηρεάζουν προϊόντα στη σουίτα του Microsoft Office, όπως το Excel και το Office online.
Τα συγκεκριμένα κενά ασφαλείας εφόσον αξιοποιηθούν σωστά μπορούν να παραχωρήσουν σε έναν εισβολέα τη δυνατότητα εκτέλεσης κώδικα στους στόχους του μέσω κακόβουλων εγγράφων του Office, όπως το Word (.DOCX), το Excel (.EXE) και το Outlook (.EML). Οι ευπάθειες είναι το αποτέλεσμα της ανάλυσης σφαλμάτων που έγιναν στον κώδικα παλαιού τύπου που βρέθηκε στο Excel95 File Formats, δίνοντας στους ερευνητές λόγους να πιστεύουν ότι τα ελαττώματα ασφαλείας υπάρχουν εδώ και αρκετά χρόνια.
Οι ευπάθειες ανακαλύφθηκαν με το “fuzzing” MSGraph, ένα στοιχείο που μπορεί να ενσωματωθεί σε προϊόντα του Microsoft Office προκειμένου να εμφανίσει γραφήματα και διαγράμματα. Το Fuzzing είναι μια αυτοματοποιημένη τεχνική δοκιμών λογισμικού που επιχειρεί να εντοπίσει επιρρεπή στο hacking σφάλματα λογισμικού, με τυχαία τροφοδοσία μη έγκυρων και μη αναμενόμενων δεδομένων σε ένα πρόγραμμα υπολογιστή, προκειμένου να βρεθούν σφάλματα κωδικοποίησης και κενά ασφαλείας.
Η CPR ανακάλυψε με τη χρήση αυτής της τεχνικής, ευπαθείς λειτουργίες στο MSGraph. Παρόμοιοι έλεγχοι κώδικα επιβεβαίωσαν ότι η ευάλωτη λειτουργία χρησιμοποιείται συνήθως σε πολλά διαφορετικά προϊόντα του Microsoft Office, όπως το Excel, το Office Online Server και το Excel για OSX.
Η Μεθοδολογία της Επίθεσης
Οι ευπάθειες που εντοπίστηκαν μπορούν να ενσωματωθούν στα περισσότερα έγγραφα του Office, και οι δυνατότητες επίθεσης μοιάζουν αμέτρητες. Το σενάριο που ακολουθεί είναι το απλούστερο που μπορούμε να φανταστούμε:
1. Το θύμα κατεβάζει ένα κακόβουλο αρχείο Excel (μορφή XLS). Το έγγραφο μπορεί να «φτάσει στα χέρια» του μέσω ενός συνδέσμου προς λήψη ή ενός email, αλλά ο εισβολέας δεν μπορεί να αναγκάσει το θύμα να το κατεβάσει
2. Το θύμα ανοίγει το κακόβουλο αρχείο Excel
3. Η ευπάθεια ενεργοποιείται
Δεδομένου ότι ολόκληρο το Office suite έχει τη δυνατότητα να ενσωματώσει αντικείμενα του Excel, διευρύνει τον ορίζοντα επίθεσης, καθιστώντας δυνατή την εκτέλεση μιας τέτοιας επίθεσης σε σχεδόν οποιοδήποτε Office λογισμικό, συμπεριλαμβανομένων των Word, Outlook και άλλων.
Η Ενημέρωση
Η CPR ενημέρωσε τη Microsoft, η οποία με τη σειρά της εξέδωσε τις ακόλουθες διορθώσεις CVE-2021-31174, CVE-2021-31178, CVE-2021-31179. Η τέταρτη ενημέρωση θα εκδοθεί στο Microsoft Patch σήμερα Τρίτη, 8 Ιουνίου 2021, ταξινομημένο ως CVE-2021-31939.
Πώς να ενημερώσετε τα Windows στο PC σας
1. Επιλέξτε το κουμπί Start/ Έναρξη και, στη συνέχεια, επιλέξτε Settings/Ρυθμίσεις> Update & security /Ενημέρωση και ασφάλεια> Windows Update.
2. Εάν θέλετε να ελέγξετε για ενημερώσεις με μη αυτόματο τρόπο, επιλέξτε Check for updates/ Έλεγχος για ενημερώσεις.
3. Επιλέξτε Advanced options / Επιλογές για προχωρημένους και, στη συνέχεια, επιλέξτε Choose how updates are installed /Επιλογή εγκατάστασης ενημερώσεων και τέλος επιλέξτε Automatic (recommended) /Αυτόματη (συνιστάται).
Latest News
Γιατί τα υποθαλάσσια καλώδια είναι «πειρασμός» για τους σαμποτέρ
Επιχειρήσεις και κυβερνήσεις βασίζονται στα υποθαλάσσια καλώδια για κρίσιμες δραστηριότητες - Πόσο ασφαλή είναι και πώς προκαλούνται φθορές
Η Baidu έκανε την έκπληξη - Πτώση εσόδων αλλά μικρότερη από το αναμενόμενο
Η Baidu κατέγραψε αύξηση 12% των εσόδων της από μη διαδικτυακό μάρκετινγκ στα 1,1 δισεκατομμύρια δολάρια
Visa: 10 συμβουλές για να κάνετε τις αγορές σας με ασφάλεια
Όπως προκύπτει από την τελευταία έκθεση της Visa «Απειλές απάτης στις γιορτές 2024»’, οι απειλές κλιμακώνονται αυτή την περίοδο
Η Ινδονησία «στρίμωξε» την Apple - Πώς κέρδισε δεκαπλάσια επένδυση
Η Apple «πείστηκε» να κατασκευάσει ένα εργοστάσιο αξεσουάρ και εξαρτημάτων στο Μπαντούνγκ της Δυτικής Ιάβας
Η «πράσινη» ενέργεια φέρνει τα data centers στην Ελλάδα
Τα data centers για να λειτουργήσουν απαιτούν τεράστια ποσά ενέργειας που πολλές φορές απλά δεν είναι διαθέσιμα - Πώς αιολική και ηλιακή ενέργεια μπορεί να «φέρουν» πρόσθετες επενδύσεις
Πώς ο Τραμπ επιδιώκει να φέρει στα μέτρα του... Μασκ τον νόμο για αυτόνομα αυτοκίνητα
Η ομάδα Τραμπ επιδιώκει να κάνει πιο εύκολους τους κανόνες για την κατασκευή αυτόνομων αυτοκινήτων - Τυχαίο...;
Αυξημένες κατά 25% οι κυβερνοαπειλές στο λιανεμπόριο ενόψει της Black Friday
Οι απατεώνες συχνά παρουσιάζονται ως μεγάλα καταστήματα όπως η Amazon, η Walmart και το Etsy
«Θύμα» της επιτυχίας της η Nvidia - Τεράστια κέρδη αλλά κάτω από τις πιο αισιόδοξες προβλέψεις
Οι μετοχές της Nvidia υποχώρησαν περίπου 5% σε διευρυμένες συναλλαγές μετά την ανακοίνωση όπως αναφέρει το Bloomberg
Τι αξίζει η Google χωρίς τον Chrome;
Στη «δίκη της δεκαετίας» οι Αμερικανοί δικαστές ζητούν από την Google να αποχωριστεί τον Chrome. Πόσο σημαντικός είναι ο browser για τον αμερικανικό τεχνολογικό κολοσσό;
Πού επεκτείνουν τη δράση τους Κινέζοι χάκερ - Ποιους διπλωμάτες παρακολουθεί το Ιράν
Τι δείχνει η τελευταία Έκθεση Δραστηριότητας APT της ESET για την κυβερνοασφάλεια και τη δράση επιλεγμένων ομάδων προηγμένων επίμονων απειλών (APT)