Microsoft rilascia un fix temporaneo per Word

Microsoft ha pubblicato un security advisory relativo ad una vulnerabilità zero-day scoperta in Word 2010. Questa è l’unica versione dell’applicazione per la quale sono stati individuati attacchi in corso. Tuttavia, lo stesso problema riguarda anche Word 2003, 2007, 2013, 2013 RT, Word Viewer, Office per Mac 2011, Word Automation Services su SharePoint Server 2010/2013, Office Web Apps 2010 e Office Web Apps Server 2013. In attesa della patch definitiva, gli utenti dovrebbero installare il Fix it temporaneo.

Microsoft spiega che la vulnerabilità zero-day potrebbe consentire l’esecuzione di codice remoto se l’utente apre un file RTF infetto con Word o visualizza una email RTF con Outlook. Word è l’email viewer predefinito in Outlook 2007, 2010 e 2013.

Un malintenzionato potrebbe ottenere gli stessi diritti dell’utente, se l’exploit riesce a sfruttare il bug con un documento che causa la corruzione della memoria, in seguito al parsing dei dati.

Per ridurre al minimo i rischi di un attacco, Microsoft suggerisce di eseguire il seguente Fix it:

Per gli utenti più esperti, l’azienda di Redmond fornisce altri due workaround. Il primo prevede l’uso della policy File Block in Outlook che impedisce l’apertura dei file RTF. Il secondo, invece, consiste nel leggere le email come testo normale. Come spesso accaduto in passato, anche questa volta la vulnerabilità è stata scoperta dal Google Security Team.

Dopo aver completato le indagini, Microsoft rilascerà la patch definitiva. La prossima tornata di aggiornamenti è programmata per l’8 aprile, per cui probabilmente l’update verrà distribuito il 13 maggio. In caso di aumento degli attacchi, l’azienda potrebbe pubblicare la patch senza rispettare la cadenza mensile.