Microsoft a mis en garde mardi contre une faille zero-day activement exploitée affectant Internet Explorer et utilisée pour détourner des systèmes Windows vulnérables en exploitant des documents Office militarisés.
Suivi comme CVE-2021-40444 (score CVSS : 8,8), la faille d’exécution de code à distance est enracinée dans MSHTML (alias Trident), un moteur de navigateur propriétaire pour Internet Explorer, désormais abandonné, et qui est utilisé dans Office pour restituer le contenu Web à l’intérieur Documents Word, Excel et PowerPoint.
« Microsoft enquête sur les rapports d’une vulnérabilité d’exécution de code à distance dans MSHTML qui affecte Microsoft Windows. Microsoft est au courant d’attaques ciblées qui tentent d’exploiter cette vulnérabilité en utilisant des documents Microsoft Office spécialement conçus », a déclaré la société. mentionné.
« Un attaquant pourrait créer un contrôle ActiveX malveillant à utiliser par un document Microsoft Office qui héberge le moteur de rendu du navigateur. L’attaquant devrait alors convaincre l’utilisateur d’ouvrir le document malveillant. Les utilisateurs dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système pourrait être moins impacté que les utilisateurs qui opèrent avec des droits d’utilisateur administratifs », a-t-il ajouté.
Le fabricant de Windows a crédité les chercheurs d’EXPMON et de Mandiant pour avoir signalé la faille, bien que la société n’ait pas divulgué de détails supplémentaires sur la nature des attaques, l’identité des adversaires exploitant ce zero-day ou leurs cibles à la lumière d’attaques réelles. .
EXPMON, dans un tweeter, a noté qu’ils avaient découvert la vulnérabilité après avoir détecté une « attaque zero-day hautement sophistiquée » visant les utilisateurs de Microsoft Office, ajoutant qu’il avait transmis ses conclusions à Microsoft dimanche. « L’exploit utilise des failles logiques, donc l’exploitation est parfaitement fiable (et dangereuse) », ont déclaré les chercheurs d’EXPMON.
Il convient toutefois de noter que l’attaque actuelle peut être supprimée si Microsoft Office est exécuté avec des configurations par défaut, dans lesquelles les documents téléchargés à partir du Web sont ouverts dans Vue protégée ou Application Guard pour Office, qui est conçu pour empêcher les fichiers non approuvés d’accéder aux ressources approuvées du système compromis.
Microsoft, une fois l’enquête terminée, devrait soit publier une mise à jour de sécurité dans le cadre de son cycle de publication mensuel Patch Tuesday, soit publier un correctif hors bande « en fonction des besoins du client ». Dans l’intervalle, le fabricant de Windows exhorte les utilisateurs et les organisations à désactiver tous les contrôles ActiveX dans Internet Explorer pour atténuer toute attaque potentielle.
