Windows i aktualizacje z lutego – ważne poprawki dla Worda i OneNote’a

Drugi wtorek miesiąca oznacza aktualizacje dla produktów Microsoftu. Istotnie, wszystkie obsługiwane wersje Windows i Office otrzymały właśnie poprawki. Wśród nich jest kilka “krytycznych”, a do czołówki, pierwszy raz od dawna, dostał się… Word.

Sprawozdania z opublikowanych poprawek skupiają się głównie na tym, czy dana dziura jest aktywnie wykorzystywana – dlatego mowa jest głównie o CVE-2023-21823. Ale to luka dość zagadkowa i potencjalnie niedotycząca wszystkich. W dodatku, wektor ataku jest lokalny, co oznacza, że najpierw musi zostać uruchomione złośliwe oprogramowanie na komputerze ofiary. Zagadkowość polega na tym, że choć dziura dotyczy składnika “Windows Graphics Component”, to będzie dystrybuowana także przez Microsoft Store.

Store nie jest w stanie aktualizować komponentów systemu (teoretycznie). Czyżby problem dotyczył jakiejś aplikacji lub biblioteki APPX? Jeżeli tak, to której? Nie ma o tym żadnej informacji. Widać za to, że poprawki otrzymały też Windowsy bez Sklepu. W notatce pojawia się jednak bardzo dziwna wzmianka z linkiem prowadzącym do instrukcji “jak zaktualizować aplikację OneNote dla systemu Android?”. Jeżeli istotnie chodzi o OneNote, to Microsoft właśnie próbuje rozwiązać poważny – i zdumiewający zarazem – problem.

OneNote

Jak wiadomo, głównym nośnikiem złośliwego oprogramowania są obecnie skróty LNK, aplikacje HTA, skrypty VBS i makra Microsoft Office. Te ostatnie są już domyślnie blokowane w pakiecie i filtrowane w wielu skrzynkach pocztowych. Dlatego cyberprzestępcy powoli rezygnują z makr. Pod tym względem zawsze bezpieczny wydawał się OneNote, bowiem on w ogóle nie obsługiwał makr. Jak się jednak okazuje, OneNote, program wbudowany w Windows 10, pozwala załączać obiekty w swoich notesach. Załączać… a następnie uruchamiać przy starcie notesu.

Jakimś cudem przeoczono ten fakt przez wiele lat popularności OneNote’a. Ostrzeżenie przy uruchamianiu załącznika OneNote nie jest tak poważne i trudne do ominięcia, jak w przypadku makr – a w dodatku zawiera opcję “nie wyświetlaj więcej tego komunikatu”, która zapamiętana – narazi użytkownika na niebezpieczeństwo. To ciekawe, że przez wiele lat pod nosem leżała ścieżka wykonawcza dla złośliwego kodu, typowa raczej dla lat 1995-1997, a nie czasów “nowożytnych”, gdzie złośliwe jest niemal wszystko.

Word

Obecnie niewykorzystywaną, a więc pod tym względem mniej “pilną” dziurą jest CVE-2023-21716. A warto się jej przyjrzeć, bowiem jej CVSS “wyceniono” na 9.8. Jest to dziura w Wordzie (niedobrze), dotycząca niewinnego pozornie formatu RTF (gorzej), niewymagająca otwierania pliku (jeszcze gorzej). Nie wiadomo więcej o szczegółach, ale to co Microsoft opisał w notatce oznacza, że możliwe jest umieszczenie złośliwego obiektu w pliku RTF (nie chodzi o makro!), który uruchamia się nie po otwarciu pliku, a po samym wyświetleniu jego podglądu, np. w miniaturce ikony, panelu podglądu Eksploratora lub okienku odczytu w programie Outlook.

Ta kategoria problemów to te najpoważniejsze – “bezdotykowe” podatności, przeciw którym nie da się łatwo wyedukować użytkowników bez informatycznej intuicji. Nie trzeba wszak “otwierać” pliku, by wykonać złośliwą zawartość. Dla większości użytkowników nie jest oczywiste, że samo wyświetlenie poglądu wymaga pobrania pliku, a wygenerowanie jego miniatury, istotnie go otwiera. I nie jest racjonalne oczekiwać zrozumienia tego faktu np. od pracowników biurowych.

Cofamy się tu nieco do dawnych czasów. Problemy takiego rodzaju dotyczą zazwyczaj bardzo dawnych podsystemów. Właśnie z tego powodu usunięto z pakietu Office Edytor Równań, a kampanie z jego wykorzystaniem są dalej stosowane. Dlatego tym bardziej zaskakuje, że Microsoft okazał się tak wyrozumiały z załączaniem obiektów aplikacji znacznie nowszej niż Word, jaką jest OneNote.

Podziel się postem :)

Najnowsze:

Oprogramowanie

Nowości w Bardzie – Gemini Pro i generowanie obrazów

Z początkiem lutego Google zapowiedziało kolejne nowości w Bard AI. Narzędzie zyskało dostęp do Gemini Pro w języku polskim (i wielu innych), więc teraz zaawansowany model sztucznej inteligencji może się wykazać także „po naszemu”. A to nie wszystko, bo kolejnym ulepszeniem jest silnik Imagen 2, odpowiedzialny za generatywne tworzenie grafiki.

Sprzęt

Standard Wi-Fi 7 oficjalnie zatwierdzony

Wi-Fi 7 to najnowszy standard łączności bezprzewodowej, który został oficjalnie zatwierdzony i jest gotowy do wdrożenia. Oficjalna specyfikacja tego standardu została ogłoszona na targach CES 2024, co oznacza, że producenci urządzeń mogą teraz rozpocząć proces certyfikacji swoich produktów.

Linux

Linux Kernel 6.7: Nowa Era Innowacji

Linux Kernel 6.7 został oficjalnie wydany, wprowadzając szereg nowych funkcji i ulepszeń. Ten najnowszy stabilny kernel Linuxa z pewnością zasługuje na uwagę.

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *