Inbäddade videor i Microsoft Word kan användas för att köra skadlig kod

Sårbarhet vid kodutförande genom inbäddade videor på MS Word

Säkerhetsexperter har upptäckt ett nytt fel i Microsoft Word som gör det möjligt för hackare att injicera en skadlig kod i ett orddokument. Felet upptäcktes av forskare vid Cymulera och det påverkar äldre versioner av Microsoft Word inklusive Word 2016.

Felet utnyttjar alternativet Online Video i Word-dokument som gör det möjligt för användare att bädda in onlinevideor i Word. Tyvärr vägrade Microsoft att erkänna felet som en sårbarhet, därför beslutade forskarna att bli offentliga med sina resultat. Sårbarheten kan utnyttjas genom att först lägga till en onlinevideo i Word-dokumentet och sedan packa upp dokumentet och ersätta den inbäddade koden med en skadlig kod.

Cymulera forskare testade till och med utnyttjandet internt och de kunde bädda in en video i ett orddokument, som sedan skulle köra skadlig kod när man klickade på dem.

Eftersom Microsoft har vägrat att erkänna detta som en sårbarhet, förväntar vi oss inte att företaget lanserar en uppdatering för att korrigera felet. Detta lämnar många användare utsatta för attacken och den bästa lösningen på detta problem är att blockera Word-dokument med inbäddade videor. Även om detta är en bra lösning, säger det sig självt att man inte ska öppna filer från okända avsändare, särskilt de som laddas ner från fildelningstjänster som inte kör ordentliga virussökningar.