Két tucat kódfuttatási hibát javított a Microsoft az Office csomagban
Az Office most javított hibái közül fél tucat az előnézeti ablaktáblán keresztül is támadható. A Microsoft csütörtökön bejelentett biztonsági javításainak többsége az irodai csomagot érinti, azon belül a Word kapta a legtöbb javítást.
Nem csak a dokumentum megnyitása lehet támadási pont
A havi biztonsági kiadás után a Microsoft több mint 30 új sebezhetőséghez jelentett be javítást. Ezek közül két tucat magas súlyosságú, távoli kódfuttatást lehetővé tevő hiba az Office csomagban található.
A legtöbb esetben a támadónak egy különlegesen kialakított fájlt, például rosszindulatú dokumentumot kell küldenie, majd rávennie a címzettet annak megnyitására. Ettől külön figyelmet érdemelnek az előnézeti ablaktáblán keresztül is célozható problémák: ezeknél a forrás külön megnevezi ezt a támadási lehetőséget. Nem kizárólag a szokásos dokumentummegnyitás szerepel tehát a lehetséges támadási utak között.
A Word mellett más Office-alkalmazások is érintettek
A javítások többségét a Word kapta, míg az Excel, az Outlook, a PowerPoint és a SharePoint esetében néhány hibát szüntettek meg. A közlés tehát nem egyetlen alkalmazásról szól, még ha a szövegszerkesztő áll is a középpontjában.
Az Office esetében nem csupán kódfuttatási problémákat kezeltek: több, információk kiszivárgásához vezető hibát és egy biztonsági védelem megkerülését lehetővé tevő sebezhetőséget is javítottak. A mostani csomag így eltérő következményekkel járó problémákat rendez, nem pusztán ugyanannak a hibatípusnak több előfordulását.
A Microsoft nem jelzett nulladik napi támadást
A Microsoft szerint egyik most javított problémát sem használták ki nulladik napi támadásban, vagyis korábban ismeretlen sebezhetőségre épülő támadásban. Az előnézeten keresztüli támadhatóság ezért itt egy lehetséges kihasználási módot jelent, nem pedig beszámolót egy már zajló támadássorozatról.
Az Office mellett más összetevőkhöz is érkeztek javítások. Az ASP.NET Core esetében szolgáltatásmegtagadást okozó hibát, az Identity Web esetében jogosultságnövelési problémát kezeltek. A Node.js környezethez készült Authentication Library (MSAL) egyik, információk kiszivárgásához vezető hibáját szintén megszüntették.
A Mac gépeken használt Office is kapott javításokat
A Microsoft csütörtökön több tucat, eredetileg október 13-án közzétett biztonsági tájékoztatót is módosított. Ezekben jelezte, hogy megjelentek a biztonsági frissítések az Office LTSC for Mac 2021 és 2024, valamint az Office 365 for Mac kiadásokhoz.
Ez a tájékoztatók kiegészítését jelenti: az október 13-i dátum az eredeti közlésekhez tartozik, a Mac-változatokhoz elérhető csomagokról szóló értesítést csütörtökön vezették át.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum