Office ha sido, durante años, una de las herramientas más explotadas por piratas informáticos para infectar a usuarios, tanto aprovechándose de fallos de seguridad presentes en las aplicaciones como utilizando la conocida técnica de las macros. En las últimas semanas, además, hemos visto cómo los piratas se están empezando a aprovechar de la no-vulnerabilidad, según Microsoft, DDE para ejecutar código malicioso en los sistemas de las víctimas. Sin embargo, estas técnicas no son nada en comparación con el nuevo fallo de seguridad que se ha dado a conocer, un fallo que lleva presente en esta suite ofimática más de 17 años poniendo en peligro a los usuarios.

Un grupo de investigadores de seguridad acaban de dar a conocer uno de los fallos de seguridad más graves jamás vistos en la suite Microsoft Office. Registrado como CVE-2017-11882, este se trata del tipo RCE, que puede permitir a un atacante ejecutar código arbitrario en la memoria de los sistemas vulnerables, inyectando objetos maliciosos en la memoria.

Este fallo de seguridad afecta a todas las versiones de Office desde 2007 hasta la actual 2016, y el responsable del mismo es el módulo ejecutable EQNEDT32.EXE, el editor de ecuaciones de Office compilado por primera vez el 11 de septiembre del 2000 y que, desde entonces, se ha estado incluyendo tal cual, sin ninguna nueva compilación, en todas las versiones de Office.

Binscope, la propia herramienta de búsqueda de vulnerabilidades de Microsoft, ya detectaba este componente como peligroso, aunque, hasta ahora, nadie había dado con el fallo en cuestión.

Este fallo afecta a Office desde el año 2000, aunque no fue hasta la versión 2007 cuando esta suite incluyó el editor de ecuaciones por defecto, exponiendo de base la seguridad de los usuarios. Las versiones de Office 2007, 2010, 2013 y 2016, tanto en 32 como en 64 bits, son vulnerables a este fallo de seguridad, fallo que, además, se puede explotar en cualquier versión de Windows, ya que no las herramientas de mitigación son capaces de protegernos de él.

Para explotar la vulnerabilidad, lo único que se necesita es incluir en el documento varios elementos OLE diseñados para desbordar el búfer de memoria. Una vez conseguido, el atacante puede incluir una serie de instrucciones que se ejecutarán, como, por ejemplo, descargar un binario de Internet y ejecutarlo (como un ransomware, por ejemplo).

Para explotar este fallo de seguridad, el usuario no tiene que hacer nada por su cuenta, ni siquiera se le interrumpirá el trabajo con la herramienta de Office que esté utilizando, por lo que la explotación y el ataque a través de este fallo de seguridad son prácticamente invisibles.

Actualiza tu Office para protegerte de este fallo de seguridad

Aunque este fallo de seguridad no se ha dado a conocer hasta hoy, en realidad los desarrolladores lo descubrieron y reportaron el pasado mes de agosto. Desde entonces, la compañía ha estado trabajando en un parche de seguridad, parche que, finalmente, se ha liberado hoy mismo.

Dada la gravedad de la vulnerabilidad, todas las versiones, desde Office 2007 hasta la 2016, han recibido un parche de seguridad de emergencia para solucionar esta vulnerabilidad y evitar que los piratas informáticos puedan explotarla. Podemos ver más información sobre este parche de seguridad en el siguiente enlace.

¿Qué opinas de esta vulnerabilidad? ¿Crees que las macros, los elementos OLE y el DDE deberían desaparecer de Office?