Windows i aktualizacje z lutego – ważne poprawki dla Worda i OneNote’a

Drugi wtorek miesiąca oznacza aktualizacje dla produktów Microsoftu. Istotnie, wszystkie obsługiwane wersje Windows i Office otrzymały właśnie poprawki. Wśród nich jest kilka “krytycznych”, a do czołówki, pierwszy raz od dawna, dostał się… Word.

Sprawozdania z opublikowanych poprawek skupiają się głównie na tym, czy dana dziura jest aktywnie wykorzystywana – dlatego mowa jest głównie o CVE-2023-21823. Ale to luka dość zagadkowa i potencjalnie niedotycząca wszystkich. W dodatku, wektor ataku jest lokalny, co oznacza, że najpierw musi zostać uruchomione złośliwe oprogramowanie na komputerze ofiary. Zagadkowość polega na tym, że choć dziura dotyczy składnika “Windows Graphics Component”, to będzie dystrybuowana także przez Microsoft Store.

Store nie jest w stanie aktualizować komponentów systemu (teoretycznie). Czyżby problem dotyczył jakiejś aplikacji lub biblioteki APPX? Jeżeli tak, to której? Nie ma o tym żadnej informacji. Widać za to, że poprawki otrzymały też Windowsy bez Sklepu. W notatce pojawia się jednak bardzo dziwna wzmianka z linkiem prowadzącym do instrukcji “jak zaktualizować aplikację OneNote dla systemu Android?”. Jeżeli istotnie chodzi o OneNote, to Microsoft właśnie próbuje rozwiązać poważny – i zdumiewający zarazem – problem.

OneNote

Jak wiadomo, głównym nośnikiem złośliwego oprogramowania są obecnie skróty LNK, aplikacje HTA, skrypty VBS i makra Microsoft Office. Te ostatnie są już domyślnie blokowane w pakiecie i filtrowane w wielu skrzynkach pocztowych. Dlatego cyberprzestępcy powoli rezygnują z makr. Pod tym względem zawsze bezpieczny wydawał się OneNote, bowiem on w ogóle nie obsługiwał makr. Jak się jednak okazuje, OneNote, program wbudowany w Windows 10, pozwala załączać obiekty w swoich notesach. Załączać… a następnie uruchamiać przy starcie notesu.

Jakimś cudem przeoczono ten fakt przez wiele lat popularności OneNote’a. Ostrzeżenie przy uruchamianiu załącznika OneNote nie jest tak poważne i trudne do ominięcia, jak w przypadku makr – a w dodatku zawiera opcję “nie wyświetlaj więcej tego komunikatu”, która zapamiętana – narazi użytkownika na niebezpieczeństwo. To ciekawe, że przez wiele lat pod nosem leżała ścieżka wykonawcza dla złośliwego kodu, typowa raczej dla lat 1995-1997, a nie czasów “nowożytnych”, gdzie złośliwe jest niemal wszystko.

Word

Obecnie niewykorzystywaną, a więc pod tym względem mniej “pilną” dziurą jest CVE-2023-21716. A warto się jej przyjrzeć, bowiem jej CVSS “wyceniono” na 9.8. Jest to dziura w Wordzie (niedobrze), dotycząca niewinnego pozornie formatu RTF (gorzej), niewymagająca otwierania pliku (jeszcze gorzej). Nie wiadomo więcej o szczegółach, ale to co Microsoft opisał w notatce oznacza, że możliwe jest umieszczenie złośliwego obiektu w pliku RTF (nie chodzi o makro!), który uruchamia się nie po otwarciu pliku, a po samym wyświetleniu jego podglądu, np. w miniaturce ikony, panelu podglądu Eksploratora lub okienku odczytu w programie Outlook.

Ta kategoria problemów to te najpoważniejsze – “bezdotykowe” podatności, przeciw którym nie da się łatwo wyedukować użytkowników bez informatycznej intuicji. Nie trzeba wszak “otwierać” pliku, by wykonać złośliwą zawartość. Dla większości użytkowników nie jest oczywiste, że samo wyświetlenie poglądu wymaga pobrania pliku, a wygenerowanie jego miniatury, istotnie go otwiera. I nie jest racjonalne oczekiwać zrozumienia tego faktu np. od pracowników biurowych.

Cofamy się tu nieco do dawnych czasów. Problemy takiego rodzaju dotyczą zazwyczaj bardzo dawnych podsystemów. Właśnie z tego powodu usunięto z pakietu Office Edytor Równań, a kampanie z jego wykorzystaniem są dalej stosowane. Dlatego tym bardziej zaskakuje, że Microsoft okazał się tak wyrozumiały z załączaniem obiektów aplikacji znacznie nowszej niż Word, jaką jest OneNote.

Podziel się postem :)

Najnowsze:

Nauka

GPT-5 będzie „na poziomie osoby z doktoratem”? OpenAI zachwala nowy model

Model GPT-5 może w pewnych konkretnych zadaniach wykazywać się „inteligencją” na poziomie doktora nauk. Tak przynajmniej wynika z deklaracji ze strony OpenAI. Firma traktuje swoje kolejne modele sztucznej inteligencji jako przykład rozwoju podobny do tego, który ma miejsce w przypadku nauki w szkole i na uczelni.

Bezpieczeństwo

Komunikat CSIRT KNF. Atak na użytkowników telefonów iPhone

CSIRT KNF ostrzega użytkowników iPhone’ów z aktywną obsługą wiadomości iMessage przed trwającą kampanią phishingową. Oszuści wykorzystują nośny wątek “nieodebranej paczki”, by zachęcić do kliknięcia linku. W ten sposób można trafić na fałszywą stronę InPostu, gdzie wyłudzane są dane.

Sprzęt

Komputery Copilot+ już oficjalnie dostępne w sprzedaży

Zgodnie z planami, dzisiaj laptopy Copilot+ wkraczają na rynek. Rozpoczyna się w ten sposób nowy rozdział w technologii, gdyż nie tylko mamy nową kategorię produktów, ale także nowego gracza na rynku pecetów – Qualcomm. A producent podobno działa nad kolejnymi Snapdragonami, których cena ma być tak przystępna, że urządzenia Copilot+ trafią pod strzechy.

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *