La funzione DDEAUTO di Office permette di eseguire codice potenzialmente dannoso

Un gruppo di ricercatori ha scoperto quella che appare come una pericolosa lacuna di sicurezza in Word e nei programmi della suite Microsoft Office.
Protagonista dell’analisi di Etienne Stalmans e Saif El-Sherei è DDE, acronimo di Dynamic Data Exchange, una funzionalità progettata per lo scambio di informazioni tra un’applicazione e l’altra.
Gli utenti possono ad esempio ricorrere a DDE per disporre l’aggiornamento del contenuto di una tabella Word usando i dati provenienti da Excel.

Sfruttando un espediente molto semplice, un aggressore può disporre l’esecuzione di codice potenzialmente dannoso sul sistema dell’utente senza neppure ricorrere all’utilizzo delle macro.

All’apertura del documento contenente i riferimenti DDE malevoli, l’utente rileverà la comparsa del messaggio “Il file contiene collegamenti ad altri file” con la richiesta di provvedere all’aggiornamento dei collegamenti.
Rispondendo in modo affermativo di fatto si autorizza l’esecuzione di codice potenzialmente dannoso.

Nel documento un aggressore deve limitarsi a inserire un chiamata del tipo {DDEAUTO c:\\windows\\system32\\cmd.exe "/k calc.exe"} (in questo caso viene avviata la calcolatrice di Windows).

La “leggerezza” relativa alla funzionalità DDE è già sfruttata per provocare download e installazione di pericolosi ransomware come Locky e Hancitor.

A questo indirizzo è possibile trovare un file REG che permette di disattivare completamente la funzionalità DDEAUTO in Outlook, Word, OneNote, ed Excel 2010, 2013 e 2016.
Allo stato attuale, infatti, Microsoft non ha intenzione di risolvere la problematica perché qualunque intervento minerebbe alla base il funzionamento della funzionalità DDE in Office.