Ugrađeni videozapisi u programu Microsoft Word mogu se koristiti za pokretanje zlonamjernog koda

Ranjivost izvršenja koda kroz ugrađene videozapise na MS Wordu

Sigurnosni stručnjaci otkrili su novu grešku u programu Microsoft Word koja hakerima omogućuje ubrizgavanje zlonamjernog koda u word dokument. Bug su otkrili istraživači na Cymulate a utječe na starije verzije programa Microsoft Word, uključujući Word 2016.

Bug iskorištava opciju Online Video u Word dokumentima koja korisnicima omogućuje ugrađivanje mrežnih videozapisa u Word. Nažalost, Microsoft je odbio priznati grešku kao ranjivost, pa su istraživači odlučili objaviti svoje nalaze. Ranjivost se može iskoristiti dodavanjem mrežnog videozapisa u Wordov dokument, a zatim raspakiravanjem dokumenta i zamjenom ugrađenog koda zlonamjernim softverom.

Cymulate istraživači su čak i interno testirali eksploataciju te su uspjeli ugraditi video u word dokument, koji bi zatim pokrenuo zlonamjerni kôd kad se na njega klikne.

Budući da je Microsoft to odbio priznati kao ranjivost, ne očekujemo da će tvrtka izbaciti ažuriranje kako bi zakrpala bug. Mnogo je korisnika izloženo napadu, a najbolje rješenje ovog problema je blokiranje Word dokumenata ugrađenim videozapisima. Iako je ovo dobro rješenje, podrazumijeva se da ne treba otvarati datoteke nepoznatih pošiljatelja, posebno onih preuzetih s usluga dijeljenja datoteka koje ne pokreću odgovarajuće skeniranje virusa.