Microsoft averti aujourd’hui que les attaquants exploitent une faille de sécurité jusque-là inconnue dans Microsoft Word qui peut être utilisé pour imposer un code malveillant si les utilisateurs ouvrent un fichier texte spécialement conçu, ou simplement prévisualiser le message dans Microsoft Outlook.
Dans un avis publié aujourd’hui, Microsoft a conseillé :
« Microsoft a connaissance d’une vulnérabilité affectant les versions prises en charge de Microsoft Word. À l’heure actuelle, nous avons connaissance d’attaques ciblées limitées dirigées contre Microsoft Word 2010. La vulnérabilité pourrait permettre l’exécution de code à distance si un utilisateur ouvre un fichier spécialement conçu. [rich text format] Fichier RTF utilisant une version affectée de Microsoft Word, ou prévisualise ou ouvre un message électronique RTF spécialement conçu dans Microsoft Outlook tout en utilisant Microsoft Word comme visualiseur de courrier électronique. Un attaquant qui parviendrait à exploiter la vulnérabilité pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur actuel.
Pour être clair, Microsoft a déclaré que les exploits qu’il a vus jusqu’à présent attaquer cette vulnérabilité visaient les utilisateurs de Word 2010, mais selon l’avis de Microsoft, la faille est également présente dans Word 2003, 2007, 2013, Word Viewer et Office pour Mac 2011.
Microsoft dit qu’il travaille sur un correctif officiel pour la faille, mais qu’entre-temps, les utilisateurs affectés peut appliquer une solution Fix-It spéciale qui désactive l’ouverture du contenu RTF dans Microsoft Word. Microsoft note que la vulnérabilité pourrait être exploitée via Outlook uniquement lors de l’utilisation de Microsoft Word comme visualiseur de courrier électronique, mais par défaut, Word est le lecteur de courrier électronique dans Microsoft Outlook 2007, Perspectives 2010 et Perspectives 2013.
Une façon de renforcer votre client de messagerie consiste à afficher les e-mails en texte brut. Pour plus d’informations sur la façon de le faire avec Microsoft Outlook 20032007, 2010 et 2013, voir celles-ci deux des articles.