Aktywnie wykorzystywany 0day w MS Office. Wystarczy otworzyć spreparowany dokument. Łatki na razie brak.

W tej notce Microsoft ostrzega w sposób następujący:

Microsoft is investigating reports of a series of remote code execution vulnerabilities impacting Windows and Office products. Microsoft is aware of targeted attacks that attempt to exploit these vulnerabilities by using specially-crafted Microsoft Office documents. An attacker could create a specially crafted Microsoft Office document that enables them to perform remote code execution in the context of the victim. However, an attacker would have to convince the victim to open the malicious file.

Jak widać, można wykonać kod na komputerze ofiary, przesyłając jej odpowiednio spreparowany plik MS Office. Aby atak się aktywował, wystarczy zaledwie otworzyć taki plik.

W innym miejscu Microsoft wskazuje, że exploit na podatność był / jest wykorzystywany przez rosyjską grupę APT. Sposób dostarczenia zatrutego pliku Office, to jak można się domyślać – phishing. Na celowniku są organizacje rządowe oraz związane z obronnością z Europy / Północnej Ameryki, a wszystko to w tle wojny na Ukrainie…

a phishing campaign conducted by the threat actor tracked as Storm-0978 targeting defense and government entities in Europe and North America. The campaign involved the abuse of CVE-2023-36884, which included a remote code execution vulnerability exploited before disclosure to Microsoft via Word documents, using lures related to the Ukrainian World Congress.

Mail-przynęta może wyglądać w ten sposób:

Podatność zgłosiła do Microsoftu ekipa Google, uzupełniając ją również o drugie znalezisko (eskalacja uprawnień do administratora Windows). Połączenie tych dwóch luk daje uprawnienia administratora po otwarciu pliku-przynęty.

Microsoft w tym miejscu wskazuje dodatkowe mechanizmy ochronne przed luką, które można wdrożyć, jeśli ktoś z jakiegoś powodu nie może zaaplikować najnowszej łatki na MS Office (aktualizacja: na moment przygotowywania newsa, łatka jeszcze nie jest dostępna). W szczególności polecane jest rozwiązanie Microsoft Defender for Office.

~ms