Excel, terza falla priva di patch in una settimana

Tre falle in una sola settimana: per Excel il momento si fa drammatico e, vista la presenza di vari exploit e l’assenza di qualsivoglia patch, c’è da attendersi lo sviluppo di worm dedicati tali per cui il consiglio per i prossimi mesi sarà uno solo: non aprire allegati di Excel se non si ha la completa certezza del fatto che trattasi di file sicuri.

La nuova vulnerabilità è stata segnalata da SecurityTracker addebitandone la scoperta originale Debasis Mohanty (il quale ha pubblicato online il codice del proof-of-concept). L’apertura di un file Excel appositamente creato permette l’esecuzione di codice da remoto, aprendo così il sistema attaccato alle incursioni di malintenzionati esterni. Tale file viene messo a punto inglobando la funzione “Shockwave Flash Object” e l’attacco proviene direttamente da un file Flash “embedded”.

Microsoft risulta essere stata informata del problema in data 3 Maggio, pochi giorni prima dell’aggiornamento mensile di sicurezza. L’accumularsi delle problematiche attorno a Microsoft Excel rende verosimile l’ipotesi per cui il prossimo aggiornamento dell’11 Luglio si concentrerà particolarmente sul software per i fogli di calcolo. Nessun attacco risulta al momento essere stato registrato online in riferimento a quest’ultima patch, ma la notifica del codice di exploit non può che rendere particolarmente insidioso il problema ed aprire gli utenti Microsoft Office al pericolo.

La prima falla notificata ha avuto una parziale risoluzione con la pubblicazione di un workaround in grado di aggirare temporaneamente l’arrivo di un eventuale attacco. L’azione congiunta di tre diversi problemi non sembra però più essere aggirabile con un semplice workaround e, nel caso un pericolo imminente sopraggiungesse, Microsoft potrebbe eventualmente ipotizzare un intervento anticipato (al momento l’ipotesi non sussiste in quanto in casi del tutto similari in passato Microsoft non è intervenuta in assenza di concreto pericolo imminente per l’utenza).