Encontradas quatro vulnerabilidades de segurança no Microsoft Office

• Podem ser incorporadas em quase todos os produtos do Microsoft Office e a equipa de investigação da Check Point acredita que existam há vários anos
• A Check Point Research recomenda todos os utilizadores a atualizarem de imediato a sua versão do Windows

A Check Point Research (CPR), área de Threat Intelligence da Check Point® Software Technologies Ltd. (NASDAQ: CHKP), fornecedor líder global de soluções de cibersegurança, identificou quatro vulnerabilidades de segurança visando produtos do Microsoft Office, incluindo o Excel e o Office Online. Se exploradas com sucesso, garantiriam ao atacante a capacidade de executar código em dispositivos alvo através de documentos maliciosos, como Word (.DOCX), Excel (.EXE) e Outlook (.EML). As vulnerabilidades resultam de erros de análise no código antigo encontrados no Excel95, o que leva os investigadores a acreditar que as falhas de segurança existem há vários anos.

A Check Point Research descobriu as vulnerabilidades ao analisar o MSGraph, uma componente que pode ser incorporada nos produtos da Microsoft Office para exibição de gráficos e tabelas. Os investigadores chegaram às vulnerabilidades através do “fuzzing”, uma técnica automatizada de teste de software que tenta encontrar erros de software que permitam ataques através da alimentação aleatória de dados inválidos e inesperados num dado programa informático, de forma a desvendar erros de código ou lacunas de segurança. Este método de atuação revelou funcionalidades vulneráveis no MSGraph que se concluiu serem utilizadas comummente em diferentes produtos do Microsoft Office, como o Excel, o Office Online Server e o Excel para OSX.

Metodologia de ataque

As vulnerabilidades encontradas podem ser incorporadas na maioria dos documentos Office, o que significa que existem múltiplos vetores de ataque. O mais simples seria:

1. Vítima faz download de um ficheiro Excel malicioso (formato XLS). O documento pode chegar ao utilizador através de um link ou por e-mail.
2. A vítima abre o ficheiro Excel malicioso.
3. A vulnerabilidade é ativada.

“As vulnerabilidades encontradas afetam quase todo o ecossistema do Microsoft Office. É possível executar este tipo de ataque em praticamente qualquer software Office, incluindo Word, Outlook e outros. Uma das nossas primeiras descobertas foi que o código antigo continua a ser o elo mais fraco da cadeia de segurança, especialmente num software complexo como o Microsoft Office,” começa por dizer Yaniv Balmas, Head of Cyber Research da Check Point Software. “Apesar de termos encontrado apenas 4 vulnerabilidades na superfície de ataque da nossa investigação, é impossível dizer quantas destas estão ainda por revelar. Recomendo vivamente os utilizadores de Windows a atualizar imediatamente o seu software, visto existirem inúmeros vetores de ataque que podem ser utilizados por cibercriminosos,” termina o responsável.

As conclusões da investigação da Check Point Research foram devidamente comunicadas à Microsoft, que lançou de imediato as patches de segurança para três vulnerabilidades: CVE-2021-31174, CVE-2021-31178, CVE-2021-31179. A quarta patch, classificada como CVE-2021-31939, foi lançada hoje, dia 8 de junho de 2021.

Como atualizar a sua versão Windows

1. Selecione o botão Iniciar, aceda a Definições > Atualizar e Segurança > Windows Update.
2. Se pretende verificar manualmente as atualizações disponíveis, selecione Procurar atualizações do Windows.
3. Selecione Opções avançadas, e depois em Escolher como as atualizações são instaladas, selecione Automático (recomendado).