Ejecución de código arbitrario en Microsoft Word 2002 y Word 2003
Se ha encontrado una vulnerabilidad en Microsoft Word que puede ser
aprovechada por atacantes para comprometer el sistema.
Microsoft no puede hacer nada por el momento, aunque prometen el parche. Pero ya se ha convetido en una vilnerabilidad 0-Day
El fallo se debe a un desbordamiento de búfer no detallado que puede
derivar en la ejecución de código arbitrario.
Es importante destacar que la vulnerabilidad está siendo activamente
aprovechada por atacantes a través, principalmente, de correos con
adjuntos y que en principio descarga otros componentes dañinos para
el sistema.
El fallo ha sido verificado en Microsoft Word 2002 y Microsoft Word
2003. Hay que señalar que otros documentos de Office (como Excel o
PowerPoint) pueden emplearse como vectores de ataque si incluyen
documentos Word embebidos.
No existe parche oficial, se recomienda no abrir archivos Office que provengan de fuentes no confiables.
Microsoft ha declarado que publicará un parche de seguridad, como
máximo, el día 13 de junio. Mientras, recomienda utilizar Microsoft
Word en modo seguro. Para ello, según Microsoft, es necesario
deshabilitar la funcionalidad de Outlook para usar Word como editor
de correo electrónico y ejecutar winword.exe siempre con el parámetro
“/safe”. —>
Ejecutarlo siempre asi: winword.exe /safe
También se recomienda pensar en el uso de alternativas como OpenOffice que son gratuitas (viva el software libre) y tienen actualizaciones más frecuentes.
Fuente: Hispasec