Hãng Cymulate đã phát hiện ra lỗ hổng logic nằm trong tính năng “Online Video” trên Microsoft Office 2016 và các phiên bản cũ hơn cho phép hacker có thể chèn mã độc hại bên trong một tập tin văn bản, lừa người dùng thực thi mã độc trên máy tính của họ.
Khi người dùng thêm vào một đường link Online Video, tính năng Online Video sẽ tự động sinh ra một HTML embed script, script này được thực thi khi thumbnail bên trong tập tin được click bởi người xem.
Vì các tập tin word (.doc) thực chất là các gói zip media và file cấu hình, do đó nó dễ dàng được mở và chỉnh sửa. File cấu hình có tên là ‘document.xml’, là một file XML chứa mã embed-video đã được sinh ra, mã này có thể chỉnh sửa và thay thành một mã HTML hoặc javascript độc hại khác. Hay nói cách khác, hacker có thể thay thế một video Youtube thành một mã độc hại.
Do Microsoft từ chối thừa nhận đây là một lỗ hổng, nên Cymulate đã công khai PoC. Dưới đây là video demo:
Khuyến nghị admin nên block các tập tin word nào có tag: “embeddedHtml” trong Document.xml file, và người dùng không nên mở các tập tin được đính kèm trong mail được gửi từ nguồn đáng ngờ.
Theo The Hacker News