Fallo en Word es objeto de ataque de explotación en Outlook.
Microsoft ha emitido una alerta de seguridad por una vulnerabilidad día-cero en algunas versiones del procesador de textos Word pero que puede afectar con tan sólo visualizar en Outlook un mensaje de correo electrónico usando Word.
Se trata de una vulnerabilidad que podría permitir la ejecución remota de código si el usuario abre un archivo RTF diseñado especialmente para explotar la vulnerabilidad, utilizando una versión afectada de Microsoft Word. La vulnerabilidad también puede ser explotada en Microsoft Outlook si el usuario abre o mira en versión preliminar un mensaje RTF de correo electrónico diseñado especialmente para explotar la vulnerabilidad, utilizando Microsoft Word como el visor de correo electrónico.
La vulnerabilidad está siendo objeto de ataques malintencionados, aunque limitados, vía malware dirigidos a Microsoft Word 2010. De forma predeterminada Microsoft Word es el lector de correo electrónico para Outlook 2007, Outlook 2010 y Outlook 2013, por lo que al visualizar de forma automática el mensaje de correo electrónico el computador puede ser infectado con malware. Es decir, no se requiere que el usuario abra algún archivo adjunto o haga click en un enlace dentro del mensaje de correo electrónico para que el equipo sea infectado, el malware se instala con tan sólo ver el mensaje en vista preliminar, algo típico en el panel de lectura de Outlook.
El atacante que explote exitosamente la vulnerabilidad puede obtener los mismos privilegios de usuario que los del usuario que inició la sesión en el sistema vulnerado.
No existe parche oficial de seguridad, por lo que mientras Microsoft lo publica es recomendable configurar Outlook para leer los mensajes de correo electrónico en formato de sólo texto y desactivar la apertura de contenido RTF en Word.
Microsoft ha dispuesto una solución temporal Fix it para desactivar la apertura de contenido RTF en Word, y así prevenir la explotación de la vulnerabilidad.
Otra alternativa para mitigar los ataques es utilizar EMET (Enhanced Mitigation Experience Toolkit), un set de herramientas que permite a los usuarios la gestión de tecnologías de seguridad de mitigación para hacer más difícil la explotación de vulnerabilidades de software. EMET mitiga la vulnerabilidad día-cero reportada por Microsoft si es instalado y configurado para trabajar con Microsoft Office.