3-2-1-wygrałeś: Lukę w Excelu

Udostępnij:

O autorze

Leszek Kędzior

Dziura w oprogramowaniu Excel Microsoftu była ostatnio "do kupienia" na aukcji eBay. Właściwie do kupienia nie była luka ale exploit, czyli program mogący tą lukę wykorzystać, cena doszła już nawet do 53$, gdy aukcja została zatrzymana przez dom aukcyjny na skutek interwencji Microsoftu.

Sprzedawca o pseudonimie "fearwall" chciał najprawdopodobniej ośmieszyć giganta software'u i skrytykować zwlekaną naprawę błędu. Zaoferował on również pracownikom Microsoftu specjalny "rabat" pod warunkiem, że wylegitymują się swoim prawdziwym adresem mailowym "..@microsoft.com" i podają kod rabatowy "LINUXRULZ". W opisie oferty podał również pewne detale dotyczące luki i poinformował że informacje na jej temat zostały udzielone producentowi oprogramowania już 6-go grudnia. Według tych danych możliwe jest spreparowanie dokumentu Excel, który już po samym otwarciu może uruchomić złośliwy kod, przyczyną tego jest funkcja msvcrt.memmove(), która przy zbyt dużych wartościach powoduje przepełnienie bufora.

Microsoft potwierdził, że w ten sposób szkodliwe oprogramowanie może zostać uruchomione na komputerze ofiary, jednak do tej pory wydaje się, iż żaden z klientów nie został przez wykorzystanie tej luki dotknięty. Poprawka na błąd też jeszcze nie została wydana.