В Word и Excel реализован механизм, через который данные из одного документа могут быть вставлены и модифицированы в другом документе. Этот механизм, известный как «field codes» в Word и
"External Updates" в  Excel, может быть автоматизирован, чтобы уменьшить количество ручной работы пользователя. Примером использования «field codes» Word может быть автоматическая вставка стандартного параграфа отказа в юридическом документе. Примером использования «External Updates» в Excel может быть автоматическое обновление диаграммы в одной электронной таблице, используя данные в другой электронной таблице. 

Уязвимость позволяет злонамеренно использовать «field codes» и
"External Updates" для захвата информации  пользователя без какого либо уведомления или предупреждения. Некоторые события могут вызвать «field codes» и «External Updates», которые
могут модифицировать данные, например
сохранить документ или обновить ссылки. Обычно пользователь узнал бы, что произошла модификация, однако специально обработанный «field codes» и «External Updates» может использоваться, чтобы выполнить модификацию без предупреждения пользователя. Это позволяет атакующему создать документ, который при открытии модифицирует себя, и включит содержание файла в
компьютер местного пользователя. 

Для успешной эксплуатации уязвимости, нападающий должен выполнить следующие шаги: 

  • Создать Word или Excel документ, эксплуатирующий эту уязвимость 
  • Передать этот документ жертве 
  • Заставить пользователя открыть такой документ 
  • Возвратить документ злоумышленнику (по сообщениям, существует способ не делать этого) 
  • Существует способ, когда документ может быть послан непосредственно на Web сайт, однако в этом случае сайт получит только первую строку документа. 

Уязвимость обнаружена в Microsoft Word и Microsoft Excel.



Оставить мнение