Lỗi trong tính năng 'Online Video' của Microsoft Word cho phép thực thi mã độc hại

[WhiteHat News #ID:2112]

Microsoft Office bị ảnh hưởng bởi một lỗi logic cho phép kẻ tấn công lạm dụng tính năng “online video” trong Word để thực thi mã độc hại.

Vấn đề này, được cho là ảnh hưởng đến tất cả người dùng Office 2016 trở về trước, có thể bị khai thác mà không cần cấu hình đặc biệt, các nhà nghiên cứu của Cymulate cho biết. Hơn nữa, không có cảnh báo an ninh cho người dùng khi một tài liệu độc hại lợi dụng lỗ hổng được mở.

Theo Cymulate, lỗ hổng này được tạo ra khi người dùng sử dụng tính năng 'online video' để nhúng video vào tài liệu của họ. Lỗi nằm trong tệp document.xml được liên kết, chứa tham số được gọi là embeddedHtml (trong WebVideoPr) đề cập đến mã iframe của YouTube.

Vấn đề là một kẻ tấn công có thể thay thế mã iframe của YouTube bằng mã HTML/JavaScript độc hại chạy ngầm. Thay vì liên kết tới video trên YouTube thực, payload sẽ mở Download Manager của Internet Explorer bằng tệp thực thi mã được nhúng.

Các nhà nghiên cứu cũng tạo ra một proof-of-concept có chứa các tập tin thực thi nhúng. Sau khi thực thi, mã sử dụng phương thức msSaveOrOpenBlob để kích hoạt tải xuống tệp thực thi thông qua Download Manager của Internet Explorer, với tùy chọn để chạy hoặc lưu tệp.

Lỗi này được báo cáo cho Microsoft từ ba tháng trước, tuy nhiên, gã khổng lồ không thừa nhận đây là một lỗ hổng an ninh.

Những kẻ tấn công tìm cách lạm dụng lỗ hổng này có thể ẩn mã thực thi vào trong các tài liệu Word và sau đó lạm dụng kỹ thuật xã hội để lừa người dùng mở các tài liệu đó như một phần của các cuộc tấn công lừa đảo.

Theo Security Week​