Office Online da dâhil olmak üzere Microsoft Office servisleri üzerinde tehdit aktörleri tarafından kötüye kullanılabilecek dört güvenlik zafiyeti tespit edilmiştir. Söz konusu güvenlik zafiyetleri, tehdit aktörlerine Word, Excel ve Outlook gibi zararlı Office belgeleri aracılığıyla hedef sistemler üzerinde kod yürütme yeteneği verebilmektedir.
Güvenlik araştırmacıları olası bir saldırı senaryosunda güvenlik zafiyetlerinin bir indirme bağlantısına tıklatılması veya e-posta yoluyla sunulan zararlı bir Excel dosyasının açılmasıyla tetiklenebileceğini açıklamıştır. Eski kodların sebep olduğu ayrıştırma hatalarından kaynaklanan güvenlik zafiyetleri, diğer Microsoft Office bileşenlerine göre nispeten daha az analiz edilen MSGraph bileşeninin fuzz edilmesiyle tespit edilmiştir.
Tespit edilen güvenlik zafiyetleri;
- CVE-2021-31179 kodu ile izlenmekte olan ilk güvenlik zafiyeti Microsoft Office servisleri üzerinde gerçekleşen hatalı giriş doğrulaması nedeniyle kaynaklanmaktadır. Uzaktaki bir tehdit aktörü, özel hazırlanmış bir dosyayı açması ve hedef sistemde rastgele kod yürütmesi için hedefi kandırabilmektedir.
- CVE-2021-31174 kodu ile izlenen diğer bir güvenlik zafiyeti ise Microsoft Excel üzerinde bulunan bir sınır koşulu nedeniyle kaynaklanmaktadır. Yerel bir tehdit aktörü sınır dışı okuma hatasını tetikleyerek sistemdeki bellek içeriğini okuyabilmektedir. Bu da tehdit aktörlerinin hassas bilgilere erişmesine olanak tanımaktadır.
- CVE-2021-31178 kodlu zafiyet ise Microsoft Office üzerinde gerçekleşen bir bilgi ifşası güvenlik zafiyetidir.
Ve son olarak CVE-2021-31939 kodu ile izlenen güvenlik zafiyeti ise Microsoft Office üzerinde gerçekleşen serbest kaldıktan sonra kullanım hatası (use-after-free) nedeniyle kaynaklanmaktadır. Söz konusu zafiyetten yararlanma bir kullanıcının özel hazırlanmış bir dosyayı açmasını gerektirmektedir. Ardından tehdit aktörleri kullanıcıları zararlı belgeye yönlendiren bir bağlantıya tıklamaları için kandırmaktadır.
Tespit edilen dört zafiyetten üçü, Microsoft tarafından Mayıs 2021 Salı güncellemesinin bir parçası olarak giderilmiştir. Diğer zafiyetin (CVE-2021-31939) ise daha sonra çıkacak olan Haziran güncellemesi ile giderilmesi beklenmektedir. Güvenlik zafiyetlerinin tüm Microsoft Office ekosistemini etkilediği uzmanlar tarafından belirtilmiştir. Bu bağlamda Windows kullanıcılarının, riski azaltmak ve zafiyetler kullanılarak gerçekleştirilecek saldırılardan kaçınmak için güncellemeleri mümkün olan en kısa sürede uygulamaları tavsiye edilmektedir.