Chyba se týká všech Microsoftem podporovaných verzí Excelu počínaje verzí 2000, včetně MS Office 2007 a Office 2008 pro Mac OS. Vlastní problém je ve zpracování formátu souboru. V posledních dnech se tento problém svou závažností pokládá za srovnatelný s chybou ve zpracování PDF v programu Adobe Acrobat (Kritická chyba v Acrobat Readeru, oprava není).
Útok může vést ke vzdálenému spuštění kódu. Útočníci v tuto chvíli podstrkávají uživatelům soubor, při jehož zpracování se automaticky nainstaluje trojský kůň a ten pak do počítače stáhne další malware. Útočník přitom získá stejná práva jako právě přihlášený místní uživatel – o důvod víc běžně nepracovat pod účtem správce (Práva správce mohou za 92 % zranitelností Windows).
Speciálně upravené soubory umisťují útočníci na své weby nebo je posílají e-mailem. Nicméně při samotném otevření e-mailu nebezpečí nehrozí, uživatel musí spustit přímo příslušný excelový soubor.
Na chybu upozornila společnost Symantec. Microsoft zatím vydal upozornění v podobě Microsoft Security Advisory 968272. Není v tuto chvíli jasné, kdy bude k dispozici oprava, ale předpokládá se, že by ji Microsoft mohl uvolnit v „mimořádném“ termínu, tedy nikoliv až druhé březnové úterý, kdy nastane další termín pravidelný. Mluvčí Microsoftu pro americký Computerworld uvedl, že útoky se prozatím naštěstí týkají jen dost omezeného množství cílů a pouze v Asii. To je ale možná jen začátek, jakmile nějaká zero-day zranitelnost vejde ve známost, útoků obvykle přibude.
Obrana? Prozatím lze prostě zakázat spouštění excelových souborů úpravou registru Windows. Dokumenty Excelu 2003 by mělo jít bezpečněji zpracovávat „izolovaně“ pomocí Microsoft Office Isolated Conversion Environment (MOICE). Právě možnost zranitelnosti souborového formátu je jednou z příčin problémů, které jsou v Office 2007 s formáty starších verzí. Nástroj MOICE byl loni uveden za účelem řešení těchto problémů.
Nicméně účinnost této metody je sporná, protože zranitelný je i samotný Excel 2007.
Zdroj: Computerworld.com
PŘEDPLATNÉ
ČLÁNKY DO MAILU