برنامه‌های مایکروسافت ۳۶۵ دارای آسیب‌پذیری‌های امنیتی جدید زیادی هستند – این چیزی است که ما می‌دانیم

محققان امنیت سایبری از Zscaler بیش از صد آسیب‌پذیری را در Microsoft 365 کشف کرده‌اند که با افزودن SketchUp به مجموعه بهره‌وری ابری معرفی شده‌اند.

بدتر از همه، آنها ادعا می کنند که موفق به دور زدن وصله های منتشر شده توسط مایکروسافت برای رفع این نقص ها شده اند.

تیم ThreatLabz Zscaler منتشر کرده است یک گزارش ادعا می کند که ۱۱۷ آسیب پذیری را در برنامه های مایکروسافت ۳۶۵ پیدا کرده است که همه به دلیل مجموعه بهره وری است که از فایل های SketchUp 3D – SKP پشتیبانی می کند.

راه حل های دور زده شده

در اصل، این برنامه به کاربران اجازه می دهد تا مدل های سه بعدی را به اسناد مایکروسافت اضافه کنند و برای اولین بار در آگوست ۲۰۰۰ معرفی شد. سال گذشته، آن را با یکپارچه سازی آفیس مایکروسافت ۳۶۵ جزء سه بعدی

با مهندسی معکوس مؤلفه‌های Office 3D، محققان دریافتند که مایکروسافت از چندین API SketchUp C استفاده می‌کند تا برنامه‌ها بتوانند یک فایل SKP را تجزیه کنند. این باعث شد که آنها ابتدا ۲۰ نقص و سپس به ۹۷ نقص دیگر پیدا کنند. اکثر آنها آسیب‌پذیری‌های سرریز بافر پشته، نوشتن خارج از محدوده یا سرریز بافر پشته هستند.

مایکروسافت همه آنها را تحت یک چتر “اجرای کد از راه دور” (RCE) قرار داد و آنها را در سه CVE گروه بندی کرد: CVE-2023-28285، CVE-2023-29344، و CVE-2023-33146. هر سه دارای برچسب “شدت بالا” با نمره شدت ۷٫۸ هستند.

صحبت کردن با TechTargetکای لو، محقق ارشد امنیتی Zscaler گفت که این شرکت هیچ مدرکی دال بر استفاده از این نقص در طبیعت پیدا نکرده است. وی افزود که هر زمان ممکن است تغییر کند.

لو به این نشریه گفت: «این احتمال وجود دارد که یک عامل تهدید ماهر بتواند آسیب‌پذیری‌های مشابه (یا مشابه) را کشف کرده و از آن استفاده کند. “تصمیم به غیرفعال کردن موقت پشتیبانی از SketchUp از بهره برداری برای نسخه هایی که وصله شده اند جلوگیری می کند و تاثیر بالقوه را محدود می کند.”

SC Media اضافه کرد که مایکروسافت پشتیبانی از SketchUp را غیرفعال کرد، زیرا محققان موفق شدند روی وصله‌هایی که منتشر کرده بود کار کنند.

وبلاگ ZScaler بدون پرداختن به جزئیات بیشتر می‌نویسد: «مایکروسافت یک وصله برای رفع آسیب‌پذیری‌هایی ایجاد کرد که ThreatLabz قادر به دور زدن آن‌ها بود. این شرکت اعلام کرد که این گزارش تنها اولین گزارش از یک سری است، بنابراین می‌توانیم در روزهای آینده منتظر جزئیات بیشتری باشیم.

از سوی دیگر، مایکروسافت به TechTarget گفت که مشتریانش «از ژوئن زمانی که این ویژگی به طور موقت غیرفعال شده بود محافظت شده‌اند» و افزود که مشتریان باید وضعیت SketchUp را در صفحه اختصاصی آن مشاهده کنند.

بیشتر از TechRadar Pro

• Okta ممکن است به دنبال هک پشتیبانی مشتری با حملات سایبری بیشتری روبرو شود
• در اینجا یک لیست از بهترین فایروال ها امروز
• اینها هستند بهترین ابزارهای امنیتی نقطه پایانی دور و بر