Microsoft Word

2022

Возможность удаленного выполнения произвольного кода с помощью 0-day уязвимости

30 мая 2022 года стало известно, что 0-day уязвимость в Office позволяет злоумышленнику удаленно выполнить произвольный код.

Иллюстрация: securitylab.ru

Исследователь кибербезопасности Nao_sec обнаружил вредоносный документ Word 05-2022-0438.doc, который был загружен на VirusTotal пользователем из Белоруссии. Документ использует функцию удаленного шаблона для извлечения HTML, а затем использует схему «ms-msdt» для выполнения кода PowerShell. Проблема затрагивает Microsoft Office, Office 2016 и Office 2021. Эксперт по кибербезопасности Кевин Бомонт опубликовал анализ уязвимости.

«В документе используется функция удаленного шаблона Word для извлечения HTML-файла с удаленного сервера, который использует URI схему ms-msdt MSProtocol для загрузки кода и выполнения скриптов PowerShell», - написал Бомонт в отчете.

«Первая проблема заключается в том, что Microsoft Word выполняет код через инструмент поддержки ms-msdt даже при отключённых макросах. Защищенный просмотр запускается, но, если изменить документ на формат RTF, защищенный просмотр включается даже без открытия документа (через вкладку предварительного просмотра в Проводнике)», - добавил исследователь.

Microsoft стала блокировать выполнение макроскриптов VBA в пяти приложениях Microsoft Office. С начала апреля 2022 года в Microsoft Access, Excel, PowerPoint, Visio и Word невозможно включать скрипты макросов в ненадежных документах, загруженных из интернета.ИТ-директор «Роснефти» Дмитрий Ломилин выступит на TAdviser SummIT 28 ноября

Также компания Microsoft увеличила сумму выплат за обнаружение «значительных» уязвимостей в Office 365 в рамках программы вознаграждения за обнаружение уязвимостей.^[1]

Блокировка макросов по умолчанию

8 февраля 2022 года стало известно, что компания Microsoft будет по умолчанию блокировать выполнение макроскриптов VBA в пяти приложениях Microsoft Office. С начала апреля 2022 года пользователи Microsoft Access, Excel, PowerPoint, Visio и Word не смогут включать скрипты макросов в ненадежных документах, загруженных из интернета. Подробнее здесь.

2021: Анонс инструмента, превращающего документ Word в презентацию PowerPoint

В конце марта 2021 года Microsoft анонсировала запуск инструмента для веб-версии Word, который позволяет пользователям конвертировать текстовые документы в презентации PowerPoint. Новая функция преобразования, которая ранее была доступна только участникам программы предварительной оценки Office, теперь доступна всем подписчикам Microsoft 365.

Эта функция использует возможности искусственного интеллекта (ИИ), чтобы сэкономить ваше время и предоставить варианты создания слайдов на основе Designer в PowerPoint. Слайды используют заголовки разделов, поэтому перед использованием следует убедиться, что документ Word организован соответствующим образом для получения оптимальных предложений. На основе ключевых слов в документе Designer в PowerPoint подберёт изображения, значки, видео, темы и шрифты для упорядочивания содержимого. При необходимости вы всегда можете отредактировать предлагаемые алгоритмом варианты, - пояснила компания в блоге.

Microsoft представила инструмент, превращающий документ Word в презентацию PowerPoint

Чтобы начать работу, достаточно открыть в Word нужный документ и в меню «Файл» выбрать опцию «Экспорт». После этого нужно выбрать пункт «Экспорт в презентацию PowerPoint», выбрать интересующий дизайн и подождать, пока будут выполнены необходимые преобразования. Когда обработка файла завершится, пользователю будет предложено задать имя получившейся презентации, а файл будет автоматически сохранён в корневой папке OneDrive пользователя.

К 23 марта 2021 года эта функция работает только с англоязычными документами и несовместима с некоторыми браузерами, включая Safari и Internet Explorer. Кроме того, пока сервис работает только с текстовыми документами и не поддерживает другой мультимедийный контент, такой как изображения, так что их придется вставлять в презентацию вручную.^[2]

Примечания