Một lỗ hổng chưa được “vá” trong Microsoft Office 2016 và các phiên bản cũ hơn có thể đã tạo điều kiện cho hacker tấn công nhúng mã độc vào bên trong tập tài liệu,áthiệnlỗhổngbảomậvòng loại cúp úc theo một nghiên cứu bảo mật tiết lộ.

Lỗ hổng này có thể cho phép kẻ tấn công nhúng mã độc vào bên trong tập tài liệu, sau đó đánh lừa người dùng chạy đoạn mã độc hại trên máy tính của họ.

Được phát hiện bởi các nhà nghiên cứu tại Cymulate, lỗ hổng này tận dụng tính năng “Online Video” cho phép người dùng nhúng một video trực tuyến có liên kết đến YouTube trong file Word.

Ảnh: Đối tượng tấn công sẽ thay thế đoạn mã video trong đây thành một video khác có chứa mã độc

Nếu bạn dùng Word, bạn sẽ có các tài liệu có đuôi là .DOCX. Trên thực tế đây là một tập tin nén chuẩn ZIP bao gồm nhiều tập tin bên trong như tài liệu và các nội dung siêu văn bản (metadata). Liên kết Online Video được đề cập ở trên được lưu trữ trong tập tin document.xml nằm trong tập tin nén. Đối tượng tấn công sẽ thay thế đoạn mã video trong đây thành một video khác có chứa mã độc mà Windows sẽ tự thực thi khi tải về tập tin này.

Ảnh: Ứng dụng văn phòng Microsoft Word dính lỗi bảo mật mới

Các nhà nghiên cứu cho biết. "Các thay đổi trong tập tin document.xml chứa gói video độc hại hoàn toàn không có thông báo bảo mật khi mở trên Microsoft Word".

Hiện tại Cymulate đã báo cáo lỗ hổng này cho Microsoft. Lỗ hổng ảnh hưởng đến các bản Word 2016 và trở về trước. Người dùng không nên mở các tập tin Word đính kèm email từ các nguồn không xác định hoặc đáng ngờ.

An Nhiên - Kim Duyên - Phạm Văn Thường (theo The Hacker News)