Lỗ hổng zero-day của MS Office Web tấn công người dùng IE

Tổng quan

Một lỗ hổng bảo mật nằm trong thành phần Microsoft Office Web vừa được phát hiện. Tạm thời chưa có bản vá chính thức cho lỗ hổng này.

I. Mô tả

Microsoft Office Web là một phần mềm sử dụng phổ biến bởi các ActiveX để hiển thị các tài liệu MS Office đươc nhúng trong trang Web trên trình duyệt Internet Explorer.
Vì vậy, kiểu tấn công này nhắm vào người dùng IE khi họ vào những trang web có sử dụng ActiveX nêu trên.

II. Tác hại

Cho phép kẻ tấn công có thể thực thi các đoạn mã từ xa trên máy tính của nạn nhân.

III. Giải pháp

Lỗ hổng này mới được phát hiện và chưa có bản vá chính thức.

Hiện tại có một số khuyến cáo như sau:

• Tạm thời sử dụng những trình duyệt khác thay thế IE, ví dụ: Firefox.


• Vô hiệu hóa các ActiveX sử dụng Microsoft Office Web bằng công cụ sau:
  Enable workaround.
  Nếu cần sử dụng trở lại, dùng công cụ sau: Disable workaround.

Các hệ thống có khả năng bị ảnh hưởng

Microsoft Office XP Service Pack 3

Microsoft Office 2003 Service Pack 3

Microsoft Office XP Web Components Service Pack 3

Microsoft Office 2003 Web Components Service Pack 3

Microsoft Office 2003 Web Components for the 2007 Microsoft Office system Service Pack 1

Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3

Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3

Microsoft Internet Security and Acceleration Server 2006

Internet Security and Acceleration Server 2006 Supportability Update

Microsoft Internet Security and Acceleration Server 2006 Service Pack 1

Microsoft Office Small Business Accounting 2006

Tham khảo

Microsoft
CVE-2009-1136

Other Information

Mọi thắc mắc hay ý kiến đóng góp xin liên hệ địa chỉ email chính thức của VNCERT (office[at]vncert[.]vn)