Cuatro vulnerabilidades de seguridad descubiertas en la suite de Microsoft Office, incluidos Excel y Office en línea, podrían ser potencialmente abusadas por malos actores para entregar código de ataque a través de documentos de Word y Excel.

«Arraigadas en el código heredado, las vulnerabilidades podrían haber otorgado a un atacante la capacidad de ejecutar código en objetivos a través de documentos de Office maliciosos, como Word, Excel y Outlook», dijeron los investigadores de Check Point Research en un informe publicado hoy.

Microsoft corrigió tres de las cuatro fallas, rastreadas como CVE-2021-31174, CVE-2021-31178, CVE-2021-31179, como parte de su actualización Patch Tuesday para mayo de 2021, con el cuarto parche (CVE-2021 -31939) que se emitirá en la actualización de junio que se implementará más tarde hoy.

En un escenario de ataque hipotético, los investigadores dijeron que la vulnerabilidad podría desencadenarse simplemente al abrir un archivo de Excel malicioso (.XLS) que se envía a través de un enlace de descarga o un correo electrónico.

Como resultado de los errores de análisis cometidos en el código heredado que se encuentra en los formatos de archivo de Excel 95, las vulnerabilidades se encontraron al fuzzear MSGraph («MSGraph.Chart.8»), un componente relativamente poco analizado en el componente de Microsoft Office que está a la par del Editor de ecuaciones de Microsoft. en cuanto a la superficie de ataque. Equation Editor, una característica ahora desaparecida en Word, se ha convertido en parte del arsenal de varios actores de amenazas relacionados al menos desde finales de 2018.

«Dado que todo el paquete de Office tiene la capacidad de incrustar objetos de Excel, esto amplía el vector de ataque, lo que hace posible ejecutar dicho ataque en casi cualquier software de Office, incluidos Word, Outlook y otros», dijeron los investigadores de Check Point.

La lista de cuatro vulnerabilidades es la siguiente:

• CVE-2021-31179: vulnerabilidad de ejecución remota de código de Microsoft Office
• CVE-2021-31174: vulnerabilidad de divulgación de información de Microsoft Excel
• CVE-2021-31178: divulgación de información de Microsoft Office Vulnerabilidad china
• CVE-2021-31939: vulnerabilidad de ejecución remota de código de Microsoft Excel

Microsoft, en sus avisos para CVE-2021-31179 y CVE-2021-31939, señaló que la explotación de la vulnerabilidad requiere que un usuario abra un archivo especialmente diseñado, y agregó que el adversario tendría que engañar a las víctimas para que hagan clic en un enlace que redirige a los usuarios. al documento malicioso.

“Las vulnerabilidades encontradas afectan a casi todo el ecosistema de Microsoft Office”, dijo Yaniv Balmas, Jefe de Investigación Cibernética de Check Point. «Es posible ejecutar un ataque de este tipo en casi cualquier software de Office, incluidos Word, Outlook y otros. Uno de los principales aprendizajes de nuestra investigación es que el código heredado sigue siendo un eslabón débil en la cadena de seguridad, especialmente en software complejo como Microsoft Oficina. «

Se recomienda encarecidamente a los usuarios de Windows que apliquen los parches lo antes posible para mitigar el riesgo y evitar ataques que puedan explotar las debilidades antes mencionadas.