Девятый бит: Блог кафедры АСОИУ ОмГТУ

Уязвимости формата файлов .doc

docxС начала создания формата .docx (Office Open XML) прошло уже 7 лет, но до сих пор некоторые люди используют старый формат .doc . И мне стало интересно, с какими угрозами безопасности своего компьютера могут столкнутся пользователи, работающие с «.doc».

Приведу ряд уязвимостей формата .doc, обнаруженных за 2004-2012 года. В основном, они эксплуатируют такие известные техники взлома, как переполнение буфера и неверный ввод параметров.

  • Переполнение буфера при считывании JPEG в компоненте Microsoft Graphic Device Interface Plus (GDIPlus.dll) позволяет удаленно запускать исполняемый код, через COM-поле JPEG файла, которое имеет малую длину, а затем нормализуется до размера large integer перед осуществлением операции копирования в память.
    http://www.cvedetails.com/cve/CVE-2004-0200
  • Переполнение буфера в конвертере Microsoft WordPerfect 5.x из Office 2000, Office XP, Office 2003, и Works Suites 2001 позволяет удаленно запускать исполняемый код через зараженный файл или веб-сайт.
    http://www.cvedetails.com/cve/CVE-2004-0573
  • Переполнение буфера в Microsoft Office XP позволяет удаленно запускать исполняемый код посредством ссылки на URL-адрес файла, содержащей много данных после нулевого байта (%00) в .doc и возврата каретки (%0a) в .rtf.
    http://www.cvedetails.com/cve/CVE-2004-0848
  • Переполнение буфера в Microsoft Word 2002 (10.6612.6714) SP3, и возможно в других версиях, позволяет вызвать падение приложения, и возможно запускать исполняемый код в winword.exe посредством некоторых недопустимых значений в .doc файле (например, смещение, вызывающее ошибку указания на недоступный раздел памяти, или ошибка конвертирования integer, вызывающее процесс копирования в память данных большого объема).
    http://www.cvedetails.com/cve/CVE-2004-0963
  • Уязвимость в Microsoft Word 2000 и 2002, Office Word и Word Viewer 2003, Word 2004 позволяет удаленно запускать исполняемый код посредством .doc файла с искаженной строкой, которая вызывает повреждение памяти.
    http://www.cvedetails.com/cve/CVE-2006-5994
  • Уязвимость Microsoft Office 2000 SP3, XP SP3, Office 2003 SP2, и Office Word Viewer 2003 позволяет удаленно запускать исполняемый код через внедренные поля в File Information Block (FIB) .doc файла, который вызывает ошибку вычисление длины и повреждение памяти.
    http://www.cvedetails.com/cve/CVE-2008-0109
  • Переполнение буфера в msjet40.dll в Microsoft Jet Database Engine позволяет удаленно запускать исполняемый код через изменный .doc файл.
    http://www.cvedetails.com/cve/CVE-2008-1092
  • Microsoft Office Word 2002 SP3, 2003 SP3, и 2007 SP2; Office Word Viewer; Office Compatibility Pack для Word, Excel, и PowerPoint 2007 File Formats SP2; и Works 9 неверно интерпретирует искаженные записи в Word файле, что позволяет удаленно запускать исполняемый код или вызывает повреждение памяти (Word Record Parsing Vulnerability).
    http://www.cvedetails.com/cve/CVE-2010-1900
  • Microsoft Word 2002 SP3 и Office 2004 для Mac неверно оперирует с возвращаемыми значениями, что позволяет удаленно запускать исполняемый код или вызывает повреждение памяти (Word Return Value Vulnerability).
    http://www.cvedetails.com/cve/CVE-2010-3215
  • Microsoft Word 2007 SP2 и SP3 неправильно работает с памятью при считывании .doc-файла, что позволяет удаленно запускать исполняемый код через зараженный файл (Word PAPX Section Corruption Vulnerability).
    http://www.cvedetails.com/cve/CVE-2012-0182

Весь список уязвимостей доступен тут: http://www.cvedetails.com/vulnerability-list/vendor_id-26/product_id-529/Microsoft-Word.html.

Эксплойты

.docx и .docm

С выходом Microsoft Office 2007 формат .doc был признан устаревшим и разделен на два формата .docx и .docm. В первом не поддерживаются встраиваемые макросы, во втором поддерживаются. Это позволило решить многие проблемы с безопасностью, так как макросы являются одним из узких мест в безопасности предыдущего формата. Они позволяли запускать пользовательские скрипты на языке Visual Basic, благодаря чему энтузиасты смогли проникнуть через них в ОС. Теперь же основным используемым форматов стал .docx, не поддерживающий макросов.

docxs

Microsoft даже иконки файлов документов сделала с учетом требований безопасности. Как видно из скриншота, потенциально вредоносный .docm имеет на иконке предупреждающий знак. Тем не менее, файл .doc такого знака не имеет, но все же является небезопасным. Однако, многие все еще пользуются форматом .doc, что на сегодняшний день является пренебрежением требованиями как безопасности сохранности данных, так и безопасности работоспособности оборудования.

You must be logged in to post a comment.