CVE-2022-41107

Uma falha de execução remota de código no tratamento de gráficos do Microsoft Office: um arquivo maliciosamente criado, uma vez aberto, pode executar código no contexto do usuário. O vetor é local com interação do usuário requerida, o que, na linguagem do Office, significa o caminho clássico, um documento chega, alguém o abre, e o parser de gráficos é o gatilho. Nenhum privilégio é necessário do lado do atacante, além de colocar o arquivo diante da vítima.

Isso tem o formato de phishing, e RCE via arquivo do Office é um perene favorito tanto de grupos comuns quanto de atores direcionados, porque a entrega, um e-mail com um anexo, é tão bem compreendida. A barreira é genuína, o usuário precisa abrir o documento, mas o ofício dos atacantes em torno exatamente disso vem sendo refinado há décadas, então o requisito de interação retarda a exploração sem preveni-la. Documentos armados para um bug como este podem circular silenciosamente.

Nosso foco é a cobertura de patch em todo o parque de Office e Microsoft 365 Apps, já que estes são distribuídos em praticamente todo endpoint, além dos controles em camadas que capturam a entrega: filtragem de anexos, Modo de Exibição Protegido e detecção de endpoint observando o Office gerando processos-filho. Classificaríamos como uma prioridade sólida no ciclo mensal, não uma emergência de largar tudo, porque a etapa de interação do usuário dá às nossas outras defesas um lugar para intervir.