Vulnerabilità 0-day su Microsoft Office mette in pericolo utenti Word: fix in arrivo

Alcuni aggressori stanno sfruttando un exploit di una vulnerabilità scoperta su Microsoft Word. Secondo i ricercatori di sicurezza di McAfee infatti il bug permetterebbe di installare in maniera del tutto invisibile per l'utente diversi tipi di malware, anche su computer aggiornati con le ultime patch di sicurezza. A differenza degli exploit canonici che prendono di mira i documenti di Office, quello divulgato da McAfee non si basa sull'uso delle macro e quindi il software non avverte della possibilità di accogliere malware sul proprio sistema non appena aperto il file malevolo.

L'exploit viene eseguito quando sul sistema target si apre un documento Word contraffatto che implementa un'applicazione HTML malevola travestita da documento rich text. Il codice HTML integrato permette il download di uno script malevolo che viene in seguito lanciato sul sistema e che può compiere qualsiasi operazione in maniera nascosta, anche l'installazione di malware. L'exploit è stato diffuso dai ricercatori di McAfee lo scorso venerdì, che sottolineano come il codice sia capace di aggirare i controlli appositi basati sull'analisi degli elementi in memoria.

McAfee e FireEye, quest'ultima anche a conoscenza del bug, hanno atteso una risposta ufficiale da parte di Microsoft prima di divulgare la novità, aspettando contestualmente un'ufficializzazione sulle cause che consentirebbero l'esecuzione del malware tramite Office. Dopo un'indagine svolta in collaborazione con il colosso di Redmond si è scoperto che il problema è legato alla funzione Windows Object Linking and Embedding (chiamata in breve OLE), che consente ad un'applicazione di collegare e integrare un determinato contenuto su un altro documento. 

Windows OLE è una feature utilizzata nello specifico sui programmi della suite Office e su WordPad, il visualizzatore di documenti integrato su Windows, ed è stato nel corso degli anni la fonte di alcuni problemi di sicurezza simili a quelli discussi da McAfee e FireEye negli ultimi giorni. Tutte le più recenti versioni di Office sono vulnerabili a quest'ultimo exploit, fra cui l'ultima disponibile al pubblico, Office 2016, anche in esecuzione su Windows 10. Secondo i ricercatori la vulnerabilità è stata sfruttata già attivamente a partire dallo scorso mese di gennaio.

Microsoft è già scesa in campo sull'argomento e ha promesso un fix specifico che dovrebbe essere rilasciato nelle prossime ore all'interno del consueto Patch Tuesday di aprile.