domingo, 21 de mayo de 2006

Ejecución de código arbitrario en Microsoft Word 2002 y Word 2003

Se ha encontrado una vulnerabilidad en Microsoft Word que puede ser
aprovechada por atacantes para comprometer el sistema.

El fallo se debe a un desbordamiento de búfer no detallado que puede
derivar en la ejecución de código arbitrario.

Es importante destacar que la vulnerabilidad está siendo activamente
aprovechada por atacantes a través, principalmente, de correos con
adjuntos y que en principio descarga otros componentes dañinos para
el sistema.

El fallo ha sido verificado en Microsoft Word 2002 y Microsoft Word
2003. Hay que señalar que otros documentos de Office (como Excel o
PowerPoint) pueden emplearse como vectores de ataque si incluyen
documentos Word embebidos.

No existe parche oficial, se recomienda no abrir archivos Office que
provengan de fuentes no confiables.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Microsoft Word Vulnerability
http://www.us-cert.gov/cas/techalerts/TA06-139A.html

Targeted attack: experience from the trenches (NEW)
http://isc.sans.org/diary.php?storyid=1345