Windows i aktualizacje z lutego, czyli poprawki dla Worda i OneNote'a

Sprawozdania z opublikowanych poprawek skupiają się głównie na tym, czy dana dziura jest aktywnie wykorzystywana - dlatego mowa jest głównie o CVE-2023-21823. Ale to luka dość zagadkowa i potencjalnie niedotycząca wszystkich. W dodatku, wektor ataku jest lokalny, co oznacza, że najpierw musi zostać uruchomione złośliwe oprogramowanie na komputerze ofiary. Zagadkowość polega na tym, że choć dziura dotyczy składnika "Windows Graphics Component", to będzie dystrybuowana także przez Microsoft Store.

Store nie jest w stanie aktualizować komponentów systemu (teoretycznie). Czyżby problem dotyczył jakiejś aplikacji lub biblioteki APPX? Jeżeli tak, to której? Nie ma o tym żadnej informacji. Widać za to, że poprawki otrzymały też Windowsy bez Sklepu. W notatce pojawia się jednak bardzo dziwna wzmianka z linkiem prowadzącym do instrukcji "jak zaktualizować aplikację OneNote dla systemu Android?". Jeżeli istotnie chodzi o OneNote, to Microsoft właśnie próbuje rozwiązać poważny - i zdumiewający zarazem - problem.

Jak wiadomo, głównym nośnikiem złośliwego oprogramowania są obecnie skróty LNK, aplikacje HTA, skrypty VBS i makra Microsoft Office. Te ostatnie są już domyślnie blokowane w pakiecie i filtrowane w wielu skrzynkach pocztowych. Dlatego cyberprzestępcy powoli rezygnują z makr. Pod tym względem zawsze bezpieczny wydawał się OneNote, bowiem on w ogóle nie obsługiwał makr. Jak się jednak okazuje, OneNote, program wbudowany w Windows 10, pozwala załączać obiekty w swoich notesach. Załączać… a następnie uruchamiać przy starcie notesu.

Jakimś cudem przeoczono ten fakt przez wiele lat popularności OneNote'a. Ostrzeżenie przy uruchamianiu załącznika OneNote nie jest tak poważne i trudne do ominięcia, jak w przypadku makr - a w dodatku zawiera opcję "nie wyświetlaj więcej tego komunikatu", która zapamiętana - narazi użytkownika na niebezpieczeństwo. To ciekawe, że przez wiele lat pod nosem leżała ścieżka wykonawcza dla złośliwego kodu, typowa raczej dla lat 1995-1997, a nie czasów "nowożytnych", gdzie złośliwe jest niemal wszystko.

Obecnie niewykorzystywaną, a więc pod tym względem mniej "pilną" dziurą jest CVE-2023-21716. A warto się jej przyjrzeć, bowiem jej CVSS "wyceniono" na 9.8. Jest to dziura w Wordzie (niedobrze), dotycząca niewinnego pozornie formatu RTF (gorzej), niewymagająca otwierania pliku (jeszcze gorzej). Nie wiadomo więcej o szczegółach, ale to co Microsoft opisał w notatce oznacza, że możliwe jest umieszczenie złośliwego obiektu w pliku RTF (nie chodzi o makro!), który uruchamia się nie po otwarciu pliku, a po samym wyświetleniu jego podglądu, np. w miniaturce ikony, panelu podglądu Eksploratora lub okienku odczytu w programie Outlook.

Ta kategoria problemów to te najpoważniejsze - "bezdotykowe" podatności, przeciw którym nie da się łatwo wyedukować użytkowników bez informatycznej intuicji. Nie trzeba wszak "otwierać" pliku, by wykonać złośliwą zawartość. Dla większości użytkowników nie jest oczywiste, że samo wyświetlenie poglądu wymaga pobrania pliku, a wygenerowanie jego miniatury, istotnie go otwiera. I nie jest racjonalne oczekiwać zrozumienia tego faktu np. od pracowników biurowych.

Cofamy się tu nieco do dawnych czasów. Problemy takiego rodzaju dotyczą zazwyczaj bardzo dawnych podsystemów. Właśnie z tego powodu usunięto z pakietu Office Edytor Równań, a kampanie z jego wykorzystaniem są dalej stosowane. Dlatego tym bardziej zaskakuje, że Microsoft okazał się tak wyrozumiały z załączaniem obiektów aplikacji znacznie nowszej niż Word, jaką jest OneNote.