Her researchers McAfee discovered an unknown vulnerability in Microsoft Word (Office application), which can be used to install different kinds of malware even on fully updated computers.
Unlike most Office vulnerabilities, this zero-day bug (not yet repaired) does not use macros. Macros in Office is a known vulnerability of the application.
Vulnerability is triggered when the victim opens a dumb Word document that downloads a malicious HTML application from a server that is disguised to resemble a Rich Text document. The HTML application downloads and runs a malicious script that can be used to install malware.
McAfee researchers, who first discovered and published vulnerability on Friday, report that because the HTML application is executable, the attacker can run code on each computer and can avoid memory mitigation designed to prevent this attacks.
McAfee and FireEye (η τελευταία δημοσίευσε μια παρόμοια προειδοποίηση το Σάββατο) συμφώνησαν για την αιτία της ευπάθειας. Το θέμα σχετίζεται με τη λειτουργία Windows Object Linking and Embedding (OLE), η οποία επιτρέπει σε μια εφαρμογή τη σύνδεση και την ενσωμάτωση περιεχομένου σε άλλα έγγραφα, σύμφωνα με τους ερευνητές. Το χαρακτηριστικό Windows OLE χρησιμοποιείται κυρίως στο Office και τα Windows, είναι ενσωματωμένο στο WordPad, και είναι η αιτία πολλών τρωτών σημείων κατά τη διάρκεια των τελευταίων ετών.
The researchers report that error can be exploited in all versions of Office, including the latest Office 2016 running on Windows 10, and have identified such attacks online since January.
A Microsoft spokesman confirmed that company will issue an update for the bug on Tuesday as part of its monthly update rollout.
