Multiples vulnérabilités découvertes dans Microsoft Office

De multiples vulnérabilités ont été corrigées dans Microsoft Office. Elles permettent à un attaquant de provoquer une élévation de privilèges, une atteinte à la confidentialité des données, une exécution de code à distance, une usurpation d'identité et un contournement de la fonctionnalité de sécurité.

CVE-2019-1448[Score CVSSv3 7.8] : Microsoft Excel est vulnérable à une exécution de code à distance lorsque celui-ci ne parvient pas à traiter correctement les objets en mémoire. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire dans le contexte de l’utilisateur connecté. Si l’utilisateur a ouvert une session avec des privilèges d’administrateur, un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle d’un système affecté. L’attaquant pourrait alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec moins de droits sur le système pourraient être moins touchés que ceux qui disposent de privilèges d’administrateur.

L’exploitation de cette vulnérabilité nécessite qu’un utilisateur ouvre un fichier spécialement conçu avec une version concernée de Microsoft Excel. Dans le cas d’une attaque par courrier électronique, un attaquant pourrait exploiter cette vulnérabilité en envoyant un fichier spécialement conçu à l’utilisateur et en persuadant celui-ci d’ouvrir le fichier. Dans le cas d’une attaque web, l’attaquant pourrait héberger un site web (ou exploiter un site web compromis qui accepte ou héberge du contenu provenant d’utilisateurs) contenant un fichier spécialement conçu pour exploiter cette vulnérabilité. Un attaquant n’aurait aucun moyen de forcer un utilisateur à visiter le site web. Il devrait le convaincre de cliquer sur un lien, généralement par le biais d'une sollicitation envoyée par message électronique ou message instantané, puis l’amener à ouvrir le fichier spécialement conçu.

CVE-2019-1449 [Score CVSSv3 9.8] :Une vulnérabilité a été découverte dans la façon dont les composants Office « Démarrer en un clic » (C2R) traitent certains fichiers spécialement conçus. Un attaquant pourrait exploiter cette vulnérabilité afin d’élever ses privilèges depuis ceux d’un utilisateur standard, ou d’un utilisateur dans le bac à sable (« sandbox AppContainer ») ou en mode protégé « LPAC d’Office » à ceux de SYSTEM (plus haut niveau de privilège en environnement Windows).