Microsoft Office: Word のゼロデイ脆弱性により、PC がテキストファイルでハッキングされる可能性がある

Microsoft Office 2016 以前はすべて、悪意のある人物が単純なテキストファイルを介して PC に感染することを可能にするゼロデイ欠陥の影響を受けます。 MS Word に影響を与えるこの欠陥は、ドキュメントへのビデオの統合と .docx ファイルの構築方法をハイジャックします。その結果、ハッカーは本物のテキストファイルを介して任意のコードを実行できるようになります。 Microsoft は、これらのバージョンの Office ではこの欠陥を修正しないと明言しており、それが二重に手ごわいものになっています…

サイバーセキュリティ専門会社 Cymulate の研究者らは、Microsoft Office 2016 以前に統合されているすべてのバージョンの Word に影響を与えるゼロデイ欠陥を明らかにしました。この欠陥は悪用が比較的簡単で、.docx ファイルを感染ベクトルに変換することを可能にします。これらのバージョンの Office の Word 機能を使用すると、YouTube などのストリーミングビデオを統合できます。統合中に、World はユーザーがビデオをクリックするとアクティブになる埋め込みコードを生成します。

研究者らは、ファイルを保存すると、埋め込みコードを変更したり、任意の HTML / JavaScript コードに置き換えたりするのがかなり簡単であることを示しています (コードは Internet Explorer によって実行されるため、このブラウザと互換性がある必要があります)。 .docx ファイルは実際には .zip アーカイブのように設計されており、いくつかの要素が含まれています。そのうちの 1 つである document.xml には、埋め込みコードがプレーンテキストで含まれています。.docx ファイルは、この .xml ファイルの変更を瞬きすることなく受け入れます。その結果、ドキュメント内のビデオのプレビューをクリックしたときに実行されるコードを置き換えることができます。

ハッカーはその後、ペイロードWord ファイルに書き込み、被害者にビデオのプレビューをクリックするよう促し、コンピュータを制御したり、データを抜き取ったりする可能性があります。理論的には、ファイルの受信者が何も気付かないようにビデオを再生しながら、任意のコードを実行することも可能です。さらに、ここで話しているのは本物の .docx ファイルについてであり、その検出が特に困難になる誤った拡張子を持つ実行可能ファイルではありません。特に、真に悪意のあるコードを騙すために最初に .docx ファイルに含める必要がないためです。ウイルス対策ソフトウェア。

Cymulate は 3 か月以上前に Microsoft に警告しました。しかし、同社はこれをセキュリティ侵害とみなすことを拒否している。したがって、発行者はこの欠陥を補うことはせず、そのソフトウェアは次のことを保証します。「HTML を期待どおりに正しく解釈します」。事実上、この欠陥を本当に防ぐ方法は 1 つだけです。.docx ファイル内のビデオは決してクリックしないことです。システム管理者は、document.xml ファイルにembeddedHtmlという単語を含む.docxファイルをブロックすることもできます。いつものように、見知らぬ人からのファイルを開かないこともお勧めします。