Уязвимость в MS Word позволяет выполнить код через встроенное видео
Исследователи компании Cymulate обнаружили в Microsoft Word критическую уязвимость, позволяющую удаленно выполнить произвольный код.
Проэксплуатировать уязвимость можно, заставив жертву открыть вредоносный документ и кликнуть на встроенное видео.
Проблема связана с тем, как Office 2016 и более ранние версии обрабатывают видеоматериалы.
Злоумышленники могут использовать ее в фишинговых атаках и отправлять жертвам документы со встроенным YouTube-видео (или любым другим online-видео), прикрывая им запущенный в фоновом режиме html— или javascript-код.
Для осуществления атаки злоумышленники должны встроить видео в документ Word, отредактировать XML-файл с именем document.xml и заменить ссылку на видео модифицированной полезной нагрузкой, открывающей менеджер загрузки Internet Explorer со встроенным файлом для выполнения кода.
По словам исследователей, именно в XML-файле и кроется наибольшая угроза.
Злоумышленники могут модифицировать параметр embeddedHTML таким образом, чтобы плавающий фрейм видео перенаправлялся на нужный html— или javascript-код.
Официального исправления для уязвимости нет, и единственный способ обезопасить себя от ее эксплуатации — включить блокировку для файлов со встроенным видео. Похоже, Microsoft не будет выпускать патч, поскольку ПО работает как положено. «Продукт правильно интерпретирует HTML, как и было задумано, и работает по тому же принципу, что и другие аналогичные продукты», приводит The Register слова старшего директора компании Джеффа Джонса.
Методов защиты от нее пока нет (кроме как не открывать подозрительные документы):
https://blog.cymulate.com/abusing-microsoft-office-online-video