Una falla in Microsoft Office sta mettendo in pericolo gli utenti della suite, esponendoli a un tipo di attacco che pareva ormai appartenere al passato.

La vulnerabilità, identificata dal numero CVE-2021-40444 e scoperta da Expmon, si trova in MSHTML, il motore di rendering usato dal vecchio Internet Explorer ma anche da Office, e colpisce tutte le versioni di Windows dalla 7 alla 10 e tutte le versioni di Windows Server dalla 2008 alla 2019.

Se sfruttata correttamente porta all'esecuzione di codice arbitrario sul computer preso di mira; per farlo, un hacker deve sfruttare un controllo ActiveX appositamente creato, proprio come si faceva una ventina d'anni fa, e integrarlo in un documento, che poi l'utente deve aprire.

«Un malintenzionato può creare un controllo ActiveX affinché sia usato da un documento Microsoft Office che adopera il motore di rendering del browser. Dovrà quindi convincere l'utente ad aprire quel documento» - spiega Microsoft - affinché il controllo possa essere eseguito.

Articoli suggeriti:

Office 2013, la fine del supporto è vicina

Office 2021 arriverà insieme a Windows 11

Un assaggio del nuovo Office, riprogettato per Windows 11

Vecchie falle da turare in Microsoft Office

La buona riuscita dell'attacco richiede quindi la collaborazione dell'utente, il quale dovrebbe ben sapere di non aprire documenti giunti da sconosciuti o inattesi, e in generale dovrebbe stare sempre sul chi vive quando si tratta di scaricare documenti da Internet, quand'anche fossero giunti attraverso la posta elettronica.

Il successo che questo attacco sta ottenendo, però, dimostra che imbrogliare gli utenti non è tanto difficile: le tecniche di social engineering adoperate per convincere ad aprire i documenti pericolosi, stando alle segnalazioni, si stanno rivelando efficaci.

Per approfondire:

Office manda in pensione Calibri: quale nuovo font preferite?

Windows 7 e Office 2010 sono ancora supportati, ma non da Microsoft

Phishing: accedere sfruttando l'ingegneria sociale

Da Microsoft un Office senza abbonamento nel 2021

D'altra parte, Office stesso offre qualche misura di protezione. Nella configurazione predefinita, la suite apre ogni documento giunto da Internet in Modalità Protetta: le modifiche non sono abilitate e i componenti come i controlli ActiveX sono disattivati.

Poiché però al momento non esiste una patch, e dato che ogni utente può disattivare la Modalità Protetta applicata ai documenti tramite un semplice e ben visibile pulsante giallo, ora più che mai quando si riceve un file nel formato di una delle applicazioni di Office è bene stare particolarmente attenti e, nel dubbio, evitare di aprirlo, sottoponendolo prima a una scansione antivirus.

Windows Defender è già stato aggiornato per riconoscere la minaccia, e lo stesso è successo a Defender for Endpoint.

Spunti di approfondimento:

Internet Explorer, scatta l'ora della pensione

Internet Explorer a rischio per colpa di MHTML

Bug in ActiveX, a rischio gli utenti di BlackBerry e Windows

Ennesima vulnerabilità per i controlli ActiveX