Microsoft advierte sobre un ataque de día cero en Office – Krebs on Security

microsoft advirtió hoy que los atacantes están apuntando a una vulnerabilidad de seguridad previamente desconocida en algunas versiones de oficina de microsoft y ventanas. La compañía también envió una herramienta provisional «Fix-It» para mitigar los ataques a la falla hasta que tenga tiempo de desarrollar y lanzar un parche más completo.

En una publicación en su blog de TechnetMicrosoft dijo que los ataques observados hasta ahora contra la vulnerabilidad se han “llevado a cabo cuidadosamente contra computadoras seleccionadas, principalmente en el Medio Oriente y el sur de Asia”. Agregó que el exploit necesita cierta interacción del usuario porque llega disfrazado como un correo electrónico que atrae a las víctimas potenciales para que abran un correo electrónico especialmente diseñado. Microsoft Word adjunto.

El exploit ataca una falla de seguridad sin parchear en la forma en que algunas versiones anteriores de Office y Windows procesan las imágenes gráficas. Según Microsoft, el exploit combina múltiples técnicas para eludir técnicas de mitigación de exploits como prevención de ejecución de datos (DEP) y aleatorización del diseño del espacio de direcciones (ASLR). La compañía dice que este exploit no afectará a Office 2013, pero afectará a versiones anteriores como oficina 2003 y oficina 2007.

“Debido a la forma en que Office 2010 usa la biblioteca gráfica vulnerable, solo se ve afectada cuando se ejecuta en plataformas más antiguas, como Windows XP o Servidor Windows 2003pero no se ve afectado cuando se ejecuta en familias de Windows más nuevas (7, 8 y 8.1)”, escribió Microsoft.

Lo último de Microsoft Herramienta de reparación debería ayudar a mitigar los ataques a esta vulnerabilidad. Además, aunque este exploit en particular intenta evadir las protecciones DEP y ASLR, probablemente sea un buen momento para recordar a los lectores sobre Microsoft EMET, una herramienta gratuita que puede aumentar la seguridad de las aplicaciones de terceros que se ejecutan sobre Windows.

Curiosamente, la noticia del exploit apareció menos de 48 horas después de que Microsoft anunciara que expandir su programa de recompensas por errores de $100,000 para investigadores que pueden encontrar y reportar nuevas técnicas de explotación para evadir las defensas integradas de Windows.