Microsoft nolldagars tiff-fel påverkar äldre kontorsprogram

Microsoft avslöjade en kritisk nolldagars sårbarhet i hur äldre versioner av Microsoft Windows och Office hanterar TIFF-bildformatet den här veckan. Även om bristen aktivt utnyttjas i naturen, sade företaget att en lapp inte kommer att vara redo för nästa veckas utgivning av Patch Tuesday.

Buggen (CVE-2013-3906) tillåter angripare att fjärrköra koden på målmaskinen genom att lura användare att öppna filer med speciellt tillverkade TIFF-bilder, sade Microsoft. När användaren öppnar attackfilen får angriparen samma rättigheter och privilegier som den användaren. Detta innebär att om användaren har ett administratörskonto kan angriparen få full kontroll över maskinen. Om användaren inte har administratörsbehörighet kan angriparen endast orsaka begränsad skada.

Testlaboratorium AV-TEST har identifierat minst åtta DOCX-dokument inbäddade i dessa skadliga bilder som för närvarande används i attacker.

Påverkad programvara

Sårbarheten finns i alla versioner av Lync-kommunikatortjänsten, Windows Vista, Windows Server 2008 och vissa versioner av Microsoft Office. Alla installationer i Office 2003 och 2007 är i riskzonen, oavsett vilket operativsystem sviten är installerad på. Office 2010 påverkas, bara om det är installerat på Windows XP eller Windows Server 2008, sade Microsoft. Det verkar som om Office 2007 är det enda som för närvarande är under aktiv attack, enligt rådgivningen.

"Upp till 37 procent av Microsoft Office-affärsanvändare är mottagliga för denna nolldagars exploatering, " säger Alex Watson, chef för säkerhetsforskning på Websense.

Denna senaste nolldag är ett bra exempel på hur sårbarheter i äldre versioner av programvara kan utsätta organisationer för allvarliga attacker. Användare bör fortfarande inte använda Office 2003, Office 2007, Windows XP och Windows Server 2003 i första hand eftersom de är så gamla. "Om du tog bort den programvaran skulle denna 0-dagars tid inte existera, " sade Tyler Reguly, teknisk chef för säkerhetsforskning och utveckling på Tripwire. Med tanke på åldern för dessa applikationer borde organisationer och användare ha uppdaterat nu.

Attacks in the Wild

Även om det finns attacker i naturen, är det viktigt att komma ihåg att hittills har de flesta attackerna varit inriktade på Mellanöstern och Asien. Microsoft sa ursprungligen att det fanns "riktade attacker som försöker utnyttja denna sårbarhet", och säkerhetsforskare från AlienVault, FireEye och Symantec har identifierat flera attackgrupper som redan använder sårbarheten för att främja sina kampanjer.

Gruppen bakom Operation Hangover, en spionagerad inriktad kampanj som identifierades redan i maj, verkar utnyttja detta fel för att främja sin insamlingsaktivitet, säger FireEye i sin blogg. Jaime Blasco, chef för AlienVault Labs, sa att utnyttjandet används för att rikta in Pakistans underrättelsetjänst och militär. En annan angreppsgrupp, som heter Arx av FireEye-forskare, använder exploiten för att distribuera Citadelbanken Trojan.

Installera lösningen

Även om korrigeringsfilen inte är klar i nästa vecka, har Microsoft släppt en FixIt, en tillfällig lösning, för att lösa problemet. Om du har sårbar programvara bör du använda FixIt omedelbart. FixIt inaktiverar hur TIFF-bilder nås, vilket kanske inte är ett alternativ för vissa användare och företag, noterade Tripwires Reguly.

Webbutvecklare, grafiska formgivare och marknadsförare som arbetar med TIFF-formatet kan finna att deras förmåga att göra sina jobb hindras med detta FixIt, varnade Reguly. Säkerhetsproffs kan ha svårt att motivera nödvändigheten av att distribuera FixIt i organisationer som arbetar mycket med högkvalitativa bilder.

"Det sätter människor i den svåra situationen att förhindra en ny sårbarhet eller göra sitt jobb, " sade Reguly.

Organisationer kan också installera Microsofts säkerhetsverktygssats EMET (Enhanced Mitigation Experience Toolkit) eftersom det förhindrar attacken från att verkställa, skrev Microsofts Security Response Center's Elia Florio; skrev i ett blogginlägg.

Många antivirus- och säkerhetssviter har redan uppdaterat sina signaturer för att upptäcka skadliga filer som utnyttjar denna sårbarhet, så du bör också se till att säkerhetsprogramvaran också är uppdaterad. Som alltid ska du vara mycket försiktig när du öppnar filer du inte specifikt begärde eller klickar på länkar om du inte känner till källan.