Złe OLE czai się w slajdach PowerPointa, nawet najnowsze Windows jest bezbronne
Jeszcze nie minęły echa exploitu0-day wykorzystującego lukę w windowsowym menedżerze pakietówOLE, dzięki której rosyjscy hakerzy mieli uzyskiwać całymi latamidostęp do komputerów NATO i Unii Europejskiej, a tu firmy zajmującesię bezpieczeństwem informują o kolejnym exploicie 0-day, ponowniew menedżerze pakietów OLE. By było zabawniej, wektor ataku jesttaki sam, jak poprzednio – napastnicy wykorzystują odpowiedniospreparowane dokumenty PowerPointa.
Na atak wykorzystujący lukę oznaczoną numerem CVE-2014-6352podatne są wszystkie wspierane wersje Windows poza starym Serverem2003. Wystarczy ofierze wysłać dokument Microsoft Office,zawierający złośliwy obiekt OLE (Object Linking and Embedding).Informujący oodkryciu Jonathan Leopando z TrendMicro nie ujawnił szczegółówdziałania exploita, uspokaja jednak, że nie pozwala on na eskalacjęuprawnień – kod obiektu OLE uruchomi się z uprawnieniamizalogowanego użytkownika. Co więcej, przy domyślnych ustawieniachsystemowych, użytkownikowi wyświetli się powiadomienie User AccessControl, co (miejmy nadzieję) ostrzeże go, że coś złego siędzieje.
Microsoft prowadzi własne śledztwo w tej sprawie. Na raziezostał wydany biuletyn,potwierdzający występowanie problemu i jego zasięg. Póki coadministratorom radzi się zastosować rozwiązanie MicrosoftFix. Niestety nie działa ono na 64-bitowych wersjach Windows8/8.1/Server 2012/R2, uruchamiających 64-bitową wersjęPowerPointa. Użytkownicy powinni powstrzymać się od otwieraniadokumentów wysłanych im z nieznanych źródeł. Kiedy pojawi sięoficjalna łatka, tego jeszcze nie wiemy. Firma zarezerwowała sobieprawo do wydania jej poza normalnym cyklem wtorkowych aktualizacji(najbliższy termin to 11 listopada) w zależności od poziomuryzyka.
Specjaliści z branży oceniają, że podobne exploity były jużwidziane nie raz, ale ten wyróżnia się swoim zasięgiem, działającna wszystkich systemach z jądrem NT 6.0 i późniejszych. Do tejpory ataki przeciwko menedżerowi obiektów OLE ograniczały się doWindows XP czy Windows Servera 2003. Odkrycie tej luki, chwilę poujawnieniu zagrożenia związanego z rosyjskim Sandwormem pokazuje,że nawet zabezpieczenia najnowszych, w pełni załatanych wersji„okienek” nie są czymś niemożliwym do obejścia dlanapastników.