Обнаружена первая уязвимость в Microsoft Office 2007

Уязвимость, присутствующая в Office Publisher 2007, позволяет злоумышленнику удаленно инициировать выполнение произвольного кода от имени вошедшего в систему пользователя - делает заявление компания eEye, занимающаяся вопросами обеспечения компьютерной безопасности.

Как сообщается, компании eEye Digital Security удалось обнаружить первую уязвимость в недавно выпущенном корпорацией Microsoft пакете Office 2007.

В опубликованном на веб-сайте бюллетене говорится о том, что исследователи из eEye выявили брешь и отрапортовали о ней в Microsoft 16 февраля. Это удаленно используемая уязвимость, которая присутствует в Office Publisher 2007. Она позволяет хакеру без физического доступа к компьютеру жертвы исполнять произвольный код так, как будто он был бы пользователем, вошедшим в систему под своей учетной записью.

Росс Браун, глава eEye, говорит, что они дали этой уязвимости "высокий" уровень опасности, однако добавляет, что Microsoft скорее всего классифицирует ее как "критическую". Также он говорит, что им еще пока не встречались случаи использования этой бреши.

И Браун и Андре Дерек Протас, исследователь по защите в eEye, оба затрудняются сказать, где именно в Publisher находится уязвимость или насколько она опасна.

"Я очень помог Microsoft в плане повышения быстроты их реакции" - говорит Браун. "Однако это совсем разные вещи - иметь простую уязвимость и иметь удаленно контролируемую уязвимость. Благодаря своей заслуживающей доверия исследовательской работе, они ввели механизмы контроля за качеством кода. Настоящим сюрпризом для наших исследователей стало то, что у совсем недавно выпущенного продукта есть уязвимость, которая может использоваться удаленно".

Протас говорит, что надеялся на лучшую защиту в последней версии пакета Office, и что он сейчас несколько поражен этим фактом. "Я бы сказал, что мы имеем дело с тем же уровнем безопасности что и в Office 2000 и Office 2003. Похоже, что в плане защищенности Office ничего не изменилось".

Уполномоченный представитель Microsoft, отвечая в электронном письме на вопросы онлайнового издания InformationWeek, сказал, что Microsoft сейчас занимается изучением новых отчетов по безопасности о возможной уязвимости в Microsoft Publisher 2007.

"Компания Microsoft не располагает в настоящее время информацией о каких-либо атаках, направленных на использование указанной в отчете уязвимости, или подобными сообщениями от пользователей" - говорит представитель. "Microsoft продолжит сотрудничать с eEye с целью дальнейшего изучения положений этого отчета в рамках стандартного исследовательского процесса MSRC, а также предоставит пользователям в случае необходимости дополнительные руководящие материалы".


Источник: http://www.informationweek.com/
Перевод: yourock