Microsoft phát hành bản cập nhật để vá lỗ hổng thực thi mã trong bộ phần mềm Office

[DDos]

Microsoft hôm nay đã tung ra một bản cập nhật bảo mật để vá lỗ hổng thực thi mã từ xa trong thư viện Autodesk FBX mà được tích hợp sẵn trong ứng dụng Microsoft Office và Paint 3D.

Tuần trước, Autodesk đã phát hành các bản vá bảo mật cho phần mềm Autodesk FBX Developer Kit của họ. Trong bản vá này lỗ hổng đáng chú ý là thực thi mã từ xa và lỗ hổng từ chối dịch vụ (DoS) gây ra bởi một file FBX được chế tạo đặc biệt. (Tệp FBX là định dạng tệp Autodesk được sử dụng để lưu trữ mô hình 3D, và hình động.)

Để khai thác lỗ hổng này, hacker sẽ tạo một file FBX độc hại và gây ra lỗ liên quan đến bộ nhớ như buffer overflow, heap overflow, use-after-free, integer overflow từ đó có quyền thực thi mã từ xa hoặc làm ứng dụng bị đóng băng (crash).

Do Microsoft Office 2016, Microsoft 2019, Office 365, và Paint 3D sử dụng thư viện Autodesk FBX, nên Microsoft cũng phải tung ra bản vá bảo mật để sửa chữa lỗ hổng này. Trong bản tin bảo mật, Microsoft giải thích rằng việc mở các tệp FBX độc hại trong các ứng dụng Office có thể dẫn đến thực thi mã từ xa.

Microsoft giải thích:

Các lỗ hổng thực thi mã từ xa tồn tại trong các sản phẩm của Microsoft sử dụng thư viện FBX khi xử lý nội dung 3D được chế tạo đặc biệt. Kẻ tấn công khai thác thành công các lỗ hổng này có thể có được quyền người dùng giống như người dùng cục bộ. Nếu tài khoản admin sử dụng ứng dụng có lỗ hổng, kẻ tấn công sẽ có đặc quyền admin và kiểm soát toàn bộ hệ thống.

Để khai thác các lỗ hổng, kẻ tấn công phải gửi một tệp được chế tạo đặc biệt có chứa nội dung 3D cho người dùng và thuyết phục họ mở nó.

Các bản cập nhật bảo mật giải quyết các lỗ hổng này bằng cách sửa lỗi cách xử lý nội dung 3D của phần mềm Microsoft.

Để kiểm tra cập nhật Office, các bạn mở menu File, và chọn Account. Dưới tùy chọn Update Options, chọn Update Now.

Theo: bleepingcomputer​