Excel e o colectie de vulnerabilitati

Vulnerabilitatile Excel se multiplica dupa lansarea duzinei de patch-uri pentru Windows, Office si Exhange. Prima, caracterizata drept critica pentru ca permite remote code excution, a fost exploatata intr-un caz izolat de atac zero-day saptamana trecuta, cea mai noua vulnerabilitate a fost facuta publica ieri.

Atat Symantec cat si Secunia au raportat ca vulnerabilitatea este rezultatul modului in care un DLL administreaza hyperlink-urile dintr-un worksheet Excel si ca problemele apar in momentul in care se incearca executarea unui link URL continut de documentul Excel. Codul de exploatare proof-of-concept este deja facut public, dupa cum sustin ambele companii, dar parerile sunt impartite in legatura cu modul in care acesta poate fi folosit de atacatori.

"Vulnerabilitatea este cauzata de o eroare de limitare intr-un fisier hlink.dll care adminstreaza hyperlinkurile din documentele Excel. Aceasta poate fi exploatata pentru a cauza un stack-based buffer overflow (o anomalie prin care procesul va incerca sa stocheze date dincolo de capacitatile hardware sau de cantitatea de memorie alocata n.a.), prin determinarea user-ului sa lanseze un hyperlink creat special intr-un document Excel daunator. Succesul unei exploatari permite executarea de cod arbitrar. Vulnerabilitatea a fost confirmata pentru versiunea Microsoft Excel 2003 SP2 cu toate update-urile instalate, deci si alte versiuni mai vechi pot contine aceasta vulnerabilitate", a avertizat Secunia.

Spre deosebire de Secunia, reprezentantii Symantec nu cred ca exista posibilitatea executarii de cod. Dupa ce au examinat continutul codului proof-of-concept au anuntat ca singurul efect pe care il are exploatarea vulnerabilitatii este crash-ul aplicatiei.

Ambele companii avertizeaza in legatura cu deschiderea de documente Office a caror sursa este necunoscuta si sfatuiesc userii sa nu urmeze linkurile din astfel de documente.

RESURSE

Microsoft ofera suport pentru vulnerabilitatea din Excel

Noua vulnerabilitate de la Microsoft

Excel va deveni o platforma comerciala strategica

Office 2007 va avea si o editie Ultimate

Orkut-ul Google, tinta unui vierme

Shhht... Google te poate AUZI!