Lỗ hổng chưa được vá trên MS Word có thể cho phép hacker xâm nhập máy tính của bạn

02/11/2018

Các nhà nghiên cứu bảo mật đã tiết lộ một lỗ hổng logic chưa được vá trong Microsoft Office 2016 và các phiên bản cũ hơn có thể cho phép kẻ tấn công nhúng mã độc vào bên trong tệp tài liệu, lừa người dùng chạy phần mềm độc hại trên máy tính của họ.

Được phát hiện bởi các nhà nghiên cứu tại Cymulate, lỗi này lạm dụng tùy chọn ‘Video Trực tuyến’ trong tài liệu Word, một tính năng cho phép người dùng nhúng video trực tuyến có liên kết tới YouTube.

Khi người dùng thêm liên kết video trực tuyến vào tài liệu MS Word, tính năng Online Vide0 sẽ tự động tạo tập lệnh nhúng HTML, chúng sẽ được thực thi khi hình thu nhỏ bên trong tài liệu được người xem nhấp vào.

Các nhà nghiên cứu đã quyết định công khai những phát hiện của họ ba tháng sau khi Microsoft từ chối công nhận vấn đề được báo cáo là một lỗ hổng bảo mật.

Lỗ hổng trên MS Word hoạt động như thế nào?

Vì các tệp Word Doc (.docx) thực sự là các gói zip của các tệp media và configuration, nó có thể dễ dàng được mở và chỉnh sửa.
Lo-hong-tren-MS-Word-hoat-đong-nhu-the-nao.pngTheo các nhà nghiên cứu, tệp cấu hình được gọi là ‘document.xml’, là tệp XML mặc định được Word sử dụng và chứa mã video được tạo, có thể được chỉnh sửa để thay thế mã iFrame video hiện tại bằng bất kỳ mã HTML hoặc javascript nào sẽ chạy ở chế độ nền.

Nói một cách đơn giản, kẻ tấn công có thể khai thác lỗi bằng cách thay thế video trên YouTube thực bằng một video độc hại mà Trình quản lý tải xuống của Internet Explorer sẽ thực thi.

Để chứng minh mức lỗ hổng, các nhà nghiên cứu đã tạo ra một cuộc tấn công PoC, chứng minh cách một tài liệu được chế tác độc hại với video nhúng, nếu được nhấp vào, sẽ nhắc người dùng chạy một tệp thực thi được nhúng (như một đốm màu của base64) – không tải xuống bất kỳ thứ gì từ internet hoặc hiển thị bất kỳ cảnh báo bảo mật nào khi nạn nhân nhấp vào hình thu nhỏ của video.
PoC-ve-lo-hong-tren-ms-word.pngPhương pháp hack đòi hỏi kẻ tấn công cần thuyết phục nạn nhân mở một tài liệu và sau đó nhấp vào một liên kết video nhúng.

Lỗi này tác động đến tất cả người dùng với MS Office 2016 và các phiên bản cũ hơn, các nhà nghiên cứu đã báo cáo lỗ này cho Microsoft, nhưng công ty từ chối thừa nhận nó là lỗ hổng bảo mật.

Rõ ràng, Microsoft không có kế hoạch sửa chữa vấn đề và nói rằng phần mềm của hãng là “giải nghĩa đúng HTML như được thiết kế”.

Trong khi đó, các nhà nghiên cứu đề nghị quản trị viên doanh nghiệp chặn các tài liệu Word chứa thẻ video nhúng: “embeddedHtml” trong tệp Document.xml và người dùng cuối không nên mở các tệp đính kèm email từ các nguồn không xác định hoặc đáng ngờ.
( Theo Phòng nghiệp Vụ )