Office vittima di quattro vulnerabilità che Microsoft ha coperto con Patch Tuesday a maggio e giugno

Parlare di una suite per ufficio è farlo quasi come un obbligo di Office. Ma ovviamente, con una diffusione così importante in milioni di computer, le falle di sicurezza non tardano a manifestarsi. Ed è quello che succede con le applicazioni Office in Windows 10, vittime di quattro principali vulnerabilità

I ricercatori hanno scoperto che Word, Outlook, Excel e PowerPoint per Windows 10 sono interessati da quattro principali vulnerabilità di sicurezza che possono indurre un utente malintenzionato a infettare con un singolo file qualsiasi computer non protettoQuattro vulnerabilità che sono state risolte con il Patch Tuesday di maggio e il Patch Tuesday di giugno

L'importanza dell'aggiornamento

Il bug è causato da un componente utilizzato per visualizzare la grafica in varie applicazioni. Chiamato MSGraph, questo componente è presente in Word, Excel, Outlook o PowerPoint. Una parte del codice ereditata da Windows 95 volte che non è stata aggiornata correttamente. Si tratta quindi di codice legacy.

La conseguenza di questa violazione della sicurezza è la presenza di quattro vulnerabilità che sono state chiamate CVE-2021-31174, CVE-2021-31178, CVE-2021- 31179 e CVE-2021 -31939 Attraverso ognuno di essi, un utente malintenzionato potrebbe eseguire codice in remoto sul nostro PC semplicemente inviando un file contaminato.

Secondo i ricercatori, le vulnerabilità sono state scoperte utilizzando una tecnica chiamata fuzzing in cui i dati vengono aggiunti casualmente a un componente per vedere dove potrebbe fallire e MSGraph è stato quello che è stato colpito.

E poiché è presente in quasi tutte le applicazioni di Office, inserire codice dannoso in un file e distribuirlo per infettare i computer è qualcosa di non eccessivo complicato.

Dopo il rilevamento dell'errore, gli scopritori hanno seguito il consueto protocollo informando tempestivamente Microsoft del ritrovamento (il 28 febbraio), in modo che l'azienda abbia pubblicato le corrispondenti patch di sistema Per le prime tre minacce, arrivate con il Patch Tuesday di maggio (l'11) mentre la rimanente è stata aggiornata lo scorso martedì attraverso il Patch Tuesday di giugno.

Via | Checkpoint di ricerca