Une nouvelle vulnérabilité Excel met 120 millions d'utilisateurs en danger

Les chercheurs en sécurité ont découvert une nouvelle vulnérabilité dans Microsoft Excel qui peut potentiellement mettre plus de 120 millions d'utilisateurs en danger. La vulnérabilité a été découverte par des chercheurs de la société de sécurité Mimecast Services Ltd.

La vulnérabilité tire parti de la fonction Power Query d'Excel qui permet aux utilisateurs d'extraire des données d'autres sources. Des chercheurs de Mimecast Services Ltd ont publié un blog récents (via Siliconange) expliquant la vulnérabilité a comment elle peut être exploitée par des pirates. La vulnérabilité permettra aux pirates d'utiliser Power Query pour lancer une attaque à distance Dynamic Data Exchange dans une feuille de calcul Excel. Non seulement cela, mais la vulnérabilité permettra également aux pirates de lancer des attaques plus sophistiquées impliquant des logiciels malveillants qui peuvent compromettre la machine de l'utilisateur dès que la feuille de calcul est ouverte.

La fonctionnalité offre des contrôles si riches qu'elle peut être utilisée pour identifier un bac à sable ou la machine d'une victime avant même de livrer des charges utiles. L'attaquant dispose de contrôles potentiels de pré-charge utile et de pré-exploitation et pourrait fournir une charge utile malveillante à la victime tout en rendant le fichier inoffensif pour un bac à sable ou d'autres solutions de sécurité.

La bonne chose est que Microsoft connaît déjà la vulnérabilité et a publié un avis dans Novembre 2017. L'avis a noté que les utilisateurs devront cliquer sur plusieurs avertissements de sécurité afin d'installer des logiciels malveillants sur leur système. Microsoft a également recommandé aux utilisateurs de désactiver la fonctionnalité DDE lorsqu'elle n'est pas utilisée pour bloquer les connexions de données externes.

Mimecast recommande fortement à tous les clients Microsoft Excel de mettre en œuvre les solutions de contournement suggérées par Microsoft car la menace potentielle pour ces utilisateurs Microsoft est réelle et l'exploit pourrait être dommageable.

La bonne chose est qu'il n'y a aucun rapport sur l'exploitation de la vulnérabilité dans la nature. La mauvaise nouvelle, cependant, est que la fonctionnalité DDE est généralement activée par défaut et que les utilisateurs peuvent ne pas la désactiver lorsqu'elle n'est pas utilisée. Meni Farjon, scientifique en chef chez Mimecast, a noté qu'il n'est pas clair combien d'organisations suivent les conseils précédents de Microsoft, affirmant qu'"il est peu probable que de nombreuses organisations l'aient désactivé".

À l'heure actuelle, Microsoft vient de publier un avis et compte sur les utilisateurs pour prendre les mesures appropriées. La chose la plus sage à faire maintenant est de désactiver la fonction DDE et de ne pas télécharger ni ouvrir les feuilles de calcul envoyées par e-mail. Enfin, assurez-vous de ne pas ignorer les invites de sécurité d'Excel, car celles-ci pourraient vous avertir d'un logiciel malveillant potentiel.