A due giorni dal rilascio da parte di Microsoft di un mega pacchetto di aggiornamento per correggere otto vulnerabilità in Excel, i ricercatori di sicurezza segnalano che almeno due falle, critiche, e pubblicamente discusse giorni fa, che affliggono gli utenti del software, rimangono "scoperte". Codici proof-of-concept di exploit per entrambe le vulnerabilità sono stati pubblicati su Internet e, in assenza delle patch correttive, Microsoft ha consigliato a tutti i clienti di evitare di accettare o aprire file Excel provenienti da fonti non fidate. Uno dei due bug, classificato "highly critical" da Secunia, popolare azienda di security monitoring danese, riguarda una falla di esecuzione codice in Windows che può essere sfruttata via Excel o altri prodotti della suite Office.
Christopher Budd, un program manager del MSRC (Microsoft Security Response Center), ha confermato che la vulnerabilità è causata da un boundary error nella componente Windows chiamata "hlink.dll", che può essere usato per provocare uno stack-based buffer overflow se un utente Excel viene indotto a cliccare su una URL modificata per lo scopo e contenuta nel documento Excel. Budd aggiunge: "Stiamo ancora investigando il problema … e stiamo lavorando duramente. Conclusa l'analisi, prenderemo i provvedimenti necessari per proteggere i nostri clienti".
Dettagli
Christopher Budd, un program manager del MSRC (Microsoft Security Response Center), ha confermato che la vulnerabilità è causata da un boundary error nella componente Windows chiamata "hlink.dll", che può essere usato per provocare uno stack-based buffer overflow se un utente Excel viene indotto a cliccare su una URL modificata per lo scopo e contenuta nel documento Excel. Budd aggiunge: "Stiamo ancora investigando il problema … e stiamo lavorando duramente. Conclusa l'analisi, prenderemo i provvedimenti necessari per proteggere i nostri clienti".
Dettagli