Wprowadzenie do problemu / definicja
Microsoft opublikował kolejną pulę poprawek bezpieczeństwa obejmujących ponad 30 nowych podatności, z których znacząca część dotyczy pakietu Office. Najpoważniejsze błędy to luki typu remote code execution, czyli umożliwiające zdalne wykonanie kodu po otwarciu spreparowanego pliku lub w określonych scenariuszach nawet poprzez mechanizmy podglądu treści. To jeden z najistotniejszych wektorów ataku, ponieważ Office pozostaje podstawowym narzędziem pracy w wielu organizacjach.
W skrócie
Najważniejszą informacją jest usunięcie około dwóch tuzinów luk RCE w komponentach Office. Część z nich mogła zostać wykorzystana z użyciem Preview Pane, co zwiększa ich atrakcyjność z perspektywy atakujących. Oprócz podatności prowadzących do wykonania kodu Microsoft załatał również błędy umożliwiające ujawnienie informacji oraz obejście mechanizmów ochronnych.
- Załatano liczne luki RCE w Wordzie, Excelu, Outlooku i PowerPoincie.
- Niektóre scenariusze mogły zostać uruchomione przez mechanizm podglądu treści.
- Większość ataków nadal wymaga dostarczenia ofierze spreparowanego dokumentu.
- Na moment publikacji poprawek błędy nie były oznaczone jako aktywnie wykorzystywane zero-day.
Kontekst / historia
Podatności w pakiecie Office od lat stanowią jeden z podstawowych kanałów wejścia do środowisk firmowych. Kampanie phishingowe, złośliwe załączniki i dokumenty wykorzystujące błędy parserów formatów plików regularnie pojawiają się zarówno w działaniach cyberprzestępczych, jak i operacjach grup APT. Z tego powodu każda większa aktualizacja dla aplikacji biurowych Microsoftu ma duże znaczenie operacyjne.
W najnowszym zestawie poprawek największa liczba usuniętych błędów dotyczy Worda, ale aktualizacje objęły również Excel, Outlook, PowerPoint i SharePoint. Równolegle producent naprawił także pojedyncze problemy w innych komponentach ekosystemu, w tym w ASP.NET Core, Identity Web oraz bibliotece MSAL dla Node.js. Opublikowano również poprawki bezpieczeństwa dla wydań Office LTSC dla Mac 2021 i 2024 oraz dla Office 365 dla Mac.
Analiza techniczna
Z technicznego punktu widzenia zdecydowana większość opisanych luk RCE wynika z błędów zarządzania pamięcią i nieprawidłowej walidacji danych wejściowych. Wśród wskazanych klas problemów znajdują się buffer overflow, błędy off-by-one, use-after-free, path traversal oraz numeric truncation. Takie usterki są szczególnie niebezpieczne w aplikacjach obsługujących złożone formaty plików, ponieważ spreparowany dokument może doprowadzić do naruszenia pamięci i przejęcia kontroli nad wykonaniem kodu.
Na szczególną uwagę zasługują luki możliwe do uruchomienia przez Preview Pane. W praktyce oznacza to, że ryzyko nie zawsze ogranicza się wyłącznie do świadomego otwarcia dokumentu przez użytkownika. Jeżeli komponent odpowiedzialny za podgląd treści inicjuje podatną ścieżkę kodu jeszcze przed pełnym otwarciem pliku, próg skutecznego ataku może być wyraźnie niższy.
W większości scenariuszy eksploatacja nadal wymaga dostarczenia spreparowanego pliku do ofiary. Najbardziej prawdopodobne kanały dystrybucji to poczta elektroniczna, komunikatory, współdzielone zasoby plikowe i platformy współpracy. Skuteczność ataku zależy więc nie tylko od samej podatności, ale również od jakości filtracji treści, polityk bezpieczeństwa oraz poziomu świadomości użytkowników.
Konsekwencje / ryzyko
Dla organizacji konsekwencje takich luk mogą być bardzo poważne. Udane wykonanie kodu w kontekście aplikacji Office może prowadzić do instalacji malware, kradzieży danych uwierzytelniających, ruchu bocznego w sieci, wdrożenia ransomware lub uzyskania trwałego dostępu do stacji roboczej. Jeżeli użytkownik posiada podwyższone uprawnienia albo dostęp do wrażliwych zasobów, skala incydentu może szybko wzrosnąć.
Ryzyko jest szczególnie wysokie w środowiskach, w których aktualizacje Office są wdrażane z opóźnieniem, użytkownicy regularnie odbierają dokumenty spoza organizacji, a systemy pocztowe i narzędzia współpracy nie zapewniają zaawansowanej analizy załączników. Istotnym czynnikiem zwiększającym ekspozycję jest również brak skutecznych mechanizmów EDR oraz ograniczona ochrona przed exploitami.
Brak informacji o aktywnym wykorzystaniu jako zero-day nie oznacza niskiego ryzyka. Po publikacji poprawek często rozpoczyna się faza n-day exploitation, w której aktorzy zagrożeń analizują różnice między wersjami oprogramowania i próbują opracować skuteczne exploity przeciwko systemom, które nie zostały jeszcze zaktualizowane.
Rekomendacje
Organizacje powinny potraktować tę falę poprawek priorytetowo i wdrożyć ją w możliwie najkrótszym czasie, szczególnie na stacjach roboczych użytkowników biznesowych oraz w systemach obsługujących pocztę i dokumenty zewnętrzne.
- Niezwłocznie zainstalować aktualizacje dla wszystkich wspieranych wersji Microsoft Office, także w środowiskach macOS.
- Zweryfikować, czy poprawki objęły również komponenty towarzyszące, takie jak Outlook, SharePoint i inne zależności wskazane przez producenta.
- Ograniczyć ekspozycję na złośliwe dokumenty poprzez sandboxing załączników, filtrowanie typów plików i skanowanie treści przed dostarczeniem do użytkownika.
- Wzmocnić telemetrykę EDR/XDR pod kątem nietypowych zachowań procesów Office, takich jak uruchamianie PowerShella, interpretera poleceń lub innych niestandardowych procesów potomnych.
- Włączyć i egzekwować reguły Attack Surface Reduction oraz polityki ograniczające uruchamianie aktywnej zawartości z dokumentów pochodzących z Internetu.
- Przeprowadzić hunting pod kątem podejrzanych dokumentów dostarczonych użytkownikom w ostatnim czasie, zwłaszcza tych pochodzących z nieznanych źródeł.
- Uzupełnić działania techniczne o krótką komunikację do użytkowników przypominającą o ryzyku związanym z załącznikami i podglądem wiadomości.
Podsumowanie
Najnowszy zestaw poprawek Microsoftu pokazuje, że pakiet Office nadal pozostaje krytycznym obszarem ryzyka w krajobrazie cyberzagrożeń. Dwie tuziny luk RCE, w tym błędy możliwe do wyzwolenia przez Preview Pane, oznaczają realne zagrożenie dla organizacji opierających codzienną pracę na dokumentach i poczcie elektronicznej. Nawet jeśli producent nie odnotował aktywnego wykorzystania tych podatności jako zero-day, zwłoka we wdrożeniu łatek może szybko zwiększyć powierzchnię ataku.