Microsoft ha rilasciato il 14 febbraio la patch per una vulnerabilità presente in Word, indicando che non era disponibile nessun exploit. Lo sviluppatore Joshua J. Drake, che aveva segnalato il problema di sicurezza all’azienda di Redmond, ha condiviso su Twitter il codice Python del PoC (proof-of-concept). Il bug potrebbe essere sfruttato per inviare un file infetto tramite phishing.
Bug RCE in Word: patch disponibile
La vulnerabilità CVE 2023-21716 ha un livello di severità elevato (9.8/10) perché un eventuale attacco non richiede l’accesso al sistema o l’interazione dell’utente. Uno dei metodi che i cybercriminali potrebbero sfruttare per distribuire il file infetto è il tradizionale phishing.
Il ricercatore di sicurezza spiega che il bug è nel parser RTF di Microsoft Word. Se la tabella dei font contiene un numero eccessivo di font si può verificare la corruzione della memoria. Ciò permette di eseguire codice arbitrario sul computer della vittima. Joshua J. Drake aveva pubblicato il PoC a fine novembre. Ora ha condiviso su Twitter una versione con un numero inferiore di linee di codice.
Non è necessario aprire il documento RTF infetto, ma basta caricare il file nel pannello di anteprima di Outlook. Il bug è presente in Office 2013/2016/2019/2021. Come detto, la patch è stata distribuita il 14 febbraio. Chi non può installarla dovrebbe visualizzare le email in testo semplice o impedire ad Office di aprire i documenti RTF, modificando alcune chiavi del registro di Windows, come indicato nel bollettino di sicurezza.
Ti potrebbe interessare
7 mar 2023