Microsoft a lancé, le 15 janvier, une alerte de sécurité concernant une vulnérabilité critique sur plusieurs de ses produits Office. Sont concernés les versions Office 2000, 2002, 2003 Service Pack 2, 2004 pour Mac de l’application Excel. Y compris le module Viewer 2003 souvent recommandé pour lire les fichiers Office en toute sécurité. Les versions Office 2003 SP3, 2007 et 2008 pour Mac ne serait, pour l’heure, pas affectées.
L’infection ne peut se réaliser qu’après exécution d’un fichier malveillant, notamment joint par e-mail, mais aucunement de manière automatique. Une infection sur le Web nécessiterait l’ouverture d’un fichier Excel vérolé. Microsoft précise également que la simple visite d’une page infectieuse peut compromettre le système. Mais cela impose à l’attaquant de réussir à amener sa victime sur la page en question. Ce qui n’est pas une difficulté en soi puisque c’est l’une des spécialités des campagnes de phishing à l’efficacité redoutable.
Le risque reste limité
L’exploitation distante de la faille permet à l’attaquant d’obtenir les mêmes droits d’administration du système que ceux de l’utilisateur local et, donc, de prendre éventuellement le contrôle de la machine. Microsoft estime que les systèmes configurés avec des profils limités en droits seraient moins affectés, en cas d’attaque, que les environnements avec les droits administrateur.
L’éditeur rapporte avoir été informé de plusieurs attaques ciblées qui exploitent cette vulnérabilité. Mais « comme [elle] n’a pas été publiquement diffusée, nous pensons que le risque reste limité« , estime l’entreprise de Redmond. Aucun correctif n’est actuellement disponible. Aucun détail technique n’a été publié.
Microsoft poursuit ses recherches sur les réponses à donner à cette vulnérabilité avérée et aux attaques en cours. Cela pourrait donner lieu à un correctif qui sera diffusé dans le prochain bulletin de sécurité prévu mardi 12 février, ou bien à une mise à jour d’urgence si la situation le nécessite.
Quelle part d’incertitude faut-il accepter dans la mise en conformité des IA avec le RGPD…
Microsoft a dévoilé les prix des mises à jour de sécurité étendues pour Windows 10.…
Docaposte a sélectionné une douzaine de spécialistes français pour créer un Pack cybersécurité spécialement étudié…
La Surface Pro 10 sera disponible le 9 avril en France. Passage en revue de…
Que réserve Office 2024 ? Une première version de test officielle sera disponible en avril.…
Microsoft Teams évolue dans une version « unifiée » qui permet de combiner les usages…