Dziury w oprogramowaniu są bardzo często spotykane i trudno jest znaleźć produkt, który jest ich pozbawiony. Czasami ich wykrycie dokonuje się po wielu miesiącach, a nawet kilku latach od stworzenia aplikacji. Rzadko się jednak zdarza by bardzo niebezpieczną lukę odkryto (oficjalnie, nie ma bowiem możliwości zweryfikowania czy ktoś nie wykrył jej wcześniej, nie informując o tym producenta) dopiero po 17 latach. Będąc szczerym, to mało który program ma w ogóle taki długi okres wsparcia.
W ostatni wtorek Microsoft wypuścił listopadowe aktualizacje, wśród którym znalazła się łatka na dziurę w Microsoft Equation Editor (aplikacja używana m.in. do edycji równań i osadzania ich jako obiekty).
Być może dla części czytelników jest to nieznane narzędzie, ale warto zaznaczyć, że jest domyślnie instalowane w pakietach Microsoft Office i to od wielu lat. Z tego powodu na atak podatne są wszystkie wersje Office’a wydane na przestrzeni 17 lat wliczając w to najnowszy pakiet Office 365. Dodatkowo atak jest możliwy do wykonania na Windows 7, 8 oraz 10, co sprawia, że zagrożenie jest poważne. Sami badacze z firmy Embedi[1], którzy wykryli podatność, określili lukę jako ekstremalnie niebezpieczną, mimo, że Microsoft oflagował ją jedynie jako „ważną”.
Pierwszy raz Microsoft Equation Editor został wydany w 2000 roku, a w 2007 roku narzędzie zostało zastąpione nowszą wersją. Jednak by zachować zgodność plików, starsza wersja została również dodana. Z tego powodu przez tyle lat możliwe było przeprowadzenie ataku. Jego przebieg widać na poniższym filmie przygotowanym przez firmę Embedi.
https://www.youtube.com/watch?v=LNFG0lktXQI
Badacze odkryli, że komponent po uruchomieniu działa poza Office’em i z tego powodu wiele wbudowanych w pakiet Office i system Windows zabezpieczeń, nie obejmuje go. To pozwoliło na stworzenie odpowiedniego exploita.
Wszystkie osoby korzystające z tego produktu powinny zainstalować stosowną aktualizację i jeżeli to tylko możliwe, włączyć aktualizacje automatyczne, co pozwoli lepiej zabezpieczyć cały system.
[1] https://embedi.com/files/white-papers/skeleton-in-the-closet.pdf
