Cảnh báo lỗ hổng bảo mật mới trong phần mềm văn phòng Microsoft Office

Một số lỗ hổng trên Microsoft Office vừa được các nhà nghiên cứu bảo mật tại Cisco Talos vừa phát hiện. Chúng cho phép tin tặc theo dõi người dùng thông qua camera và micro.

Transparency Consent and Control (TCC) là nền tảng trên MacOS của Apple, quản lý quyền truy cập của các ứng dụng, ví dụ như dịch vụ vị trí, camera, micro, thư viện ảnh và các tệp khác. Các ứng dụng sau khi cài đặt đều cần phải được cấp quyền trước khi có thể hoạt động.

Các nhà nghiên cứu xác định được 8 lỗ hổng trong nhiều ứng dụng Microsoft dành cho macOS, cho phép kẻ tấn công có thể sử dụng các quyền ứng dụng hiện có, bỏ qua mô hình cấp quyền của hệ điều hành và không cần nhắc người dùng xác minh thêm.

Khai thác thành công, tin tặc có thể giành được các đặc quyền đã được cấp cho các ứng dụng Microsoft bị ảnh hưởng.

Ví dụ, kẻ tấn công có thể gửi email từ tài khoản người dùng ghi lại các đoạn âm thanh, chụp ảnh hoặc quay video mà nạn nhân không hề hay biết.

Dưới đây là danh sách các lỗ hổng mà Talos phát hiện với CVE tương ứng:

Microsoft cho rằng các lỗ hổng này dựa vào việc tải các thư viện chưa được ký để hỗ trợ các plugin của bên thứ ba nên có “rủi ro thấp”.

Hiện, Microsoft đã tung ra bản cập nhật với những thay đổi về cách các ứng dụng này xử lý quyền xác thực thư viện cho các ứng dụng Microsoft Teams và OneNote cho macOS. Tuy nhiên, các ứng dụng Excel, PowerPoint, Word và Outlook vẫn chưa có bản cập nhật và dễ bị khai thác.