Une faille de sécurité découverte dans Microsoft Word

La vigilance est de mise lorsque vous manipulez des fichiers reçus en pièce-jointe. Le centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques (CERT) a indiqué lundi 31 mai qu'une faille était susceptible d'être activement exploitée par des pirates pour prendre la main sur des ordinateurs à distance.

Baptisée CVE-2022-30190, cette vulnérabilité est une faille dite zero-day qui n'a pas encore fait l'objet d'un correctif de la part des éditeurs concernés. Classée 7,8 sur une échelle de 10, elle vise les documents utilisés dans les logiciels de la suite Microsoft Office 2013, 2016, 2019 et 2021 de machines évoluant sous Windows 7, 8, 10 et 11 et plus particulièrement les fichiers liés au célèbre programme Microsoft Word.

"Le 27 mai 2022, un chercheur a identifié un document Word piégé sur la plate-forme Virus Total", indique le CERT. "Lorsque ce document est ouvert, l'un des objets (...) présent dans celui-ci télécharge du contenu situé sur un serveur externe contrôlé par l'attaquant. Ce contenu exploite une vulnérabilité permettant d'exécuter du code malveillant (...) sous la forme d'un script Powershell encodé en base 64". 

En d'autres termes, cette vulnérabilité permet à des pirates de prendre la main sur une machine à distance lorsque le fichier est ouvert par l'utilisateur. Mais elle peut aussi être exploitée à l'aide d'un document au format RTF de traitement de texte. "Dans ce cas, la charge utile peut être récupérée et exploitée lorsque le document est prévisualisée sans même qu'il ne soit ouvert par l'utilisateur", précise le CERT.

Microsoft a reconnu l'existence de la faille. "Un attaquant qui réussit à exploiter cette vulnérabilité peut exécuter du code arbitraire avec les privilèges de l'application appelante. L'attaquant peut alors installer des programmes, visualiser, modifier ou supprimer des données, ou créer de nouveaux comptes dans le contexte autorisé par les droits de l'utilisateur", indique le centre de sécurité de l'entreprise. 

Aucun correctif officiel n'a encore été publié à ce jour. Mais des instructions ont été fournies par le centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques aux administrateurs de systèmes d'information pour limiter son exploitation.