Microsoft Office Excel victime d’une série d’attaques ciblées
Microsoft a reconnu l’existence de l’exploitation d’une vulnérabilité dans les versions précédentes d’Office Excel. Aucun correctif n’est disponible.
Microsoft a lancé, le 15 janvier, une alerte de sécurité concernant une vulnérabilité critique sur plusieurs de ses produits Office. Sont concernés les versions Office 2000, 2002, 2003 Service Pack 2, 2004 pour Mac de l’application Excel. Y compris le module Viewer 2003 souvent recommandé pour lire les fichiers Office en toute sécurité. Les versions Office 2003 SP3, 2007 et 2008 pour Mac ne serait, pour l’heure, pas affectées.
L’infection ne peut se réaliser qu’après exécution d’un fichier malveillant, notamment joint par e-mail, mais aucunement de manière automatique. Une infection sur le Web nécessiterait l’ouverture d’un fichier Excel vérolé. Microsoft précise également que la simple visite d’une page infectieuse peut compromettre le système. Mais cela impose à l’attaquant de réussir à amener sa victime sur la page en question. Ce qui n’est pas une difficulté en soi puisque c’est l’une des spécialités des campagnes de phishing à l’efficacité redoutable.
Le risque reste limité
L’exploitation distante de la faille permet à l’attaquant d’obtenir les mêmes droits d’administration du système que ceux de l’utilisateur local et, donc, de prendre éventuellement le contrôle de la machine. Microsoft estime que les systèmes configurés avec des profils limités en droits seraient moins affectés, en cas d’attaque, que les environnements avec les droits administrateur.
L’éditeur rapporte avoir été informé de plusieurs attaques ciblées qui exploitent cette vulnérabilité. Mais « comme [elle] n’a pas été publiquement diffusée, nous pensons que le risque reste limité« , estime l’entreprise de Redmond. Aucun correctif n’est actuellement disponible. Aucun détail technique n’a été publié.
Microsoft poursuit ses recherches sur les réponses à donner à cette vulnérabilité avérée et aux attaques en cours. Cela pourrait donner lieu à un correctif qui sera diffusé dans le prochain bulletin de sécurité prévu mardi 12 février, ou bien à une mise à jour d’urgence si la situation le nécessite.