Excel: scoperta una vulnerabilità estremamente critica

Microsoft ha appena pubblicato un bollettino con il quale conferma la scoperta di una pericolosa vulnerabilità in molteplici versioni di Excel. La falla di sicurezza sarebbe attualmente sfruttata per condurre attacchi ed eseguire codice dannoso sul sistema dell’utente.

Stando a quanto reso noto, a rischio sarebbero gli utenti dei prodotti seguenti: Excel 2003 Service Pack 2, Excel Viewer 2003, Excel 2002, Excel 2000 ed Excel 2004 for Mac.

Secunia, azienda danese attiva nel campo della sicurezza informatica, ha immediatamente bollato la vulnerabilità come “estremamente critica” (ved. questa scheda) suggerendo agli utenti di evitare l’apertura di documenti in formato Excel provenienti da fonti non “fidate”, fintanto che Microsoft non avrà rilasciato una patch risolutiva.

Un aggressore può infatti “confezionare” un documento in formato Excel modificandolo opportunamente in modo tale da far leva sul problema di sicurezza scoperto. Nel momento in cui l’utente tenterà di aprire il file su una macchina vulnerabile, il suo sistema diverrà immediatamente oggetto di attacco. L’esecuzione di codice arbitrario, e quindi potenzialmente nocivo, è causata da una scorretta gestione da parte di Excel delle informazioni memorizzate nell'”intestazione” del file.

Agli utenti di Excel 2003, Microsoft suggerisce di fare uso di “MOICE” (Microsoft Office Isolated Conversion Environment) per aprire in modo sicuro qualsiasi tipo di documento. Per maggiori informazioni, è possibile consultare il bollettino ufficiale.

Il problema di sicurezza non riguarda Excel 2003 Service Pack 3, Excel 2007, Excel 2007 Service Pack 1 ed Excel 2008 for Mac.

Venerdì 18 Gennaio 2008, a seguito della recente emissione del Microsoft Security Advisory (947563) – Vulnerability in Microsoft Excel Could Allow Remote Code Execution, pubblicato al fine di segnalare ai clienti l’attuale fase di investigazione in merito a questa vulnerabilità, Microsoft ha reso noto che il suggerimento di non utilizzare o aprire assolutamente i documenti in formato Excel, riportato da alcune testate online, non corrisponde alla raccomandazione contenuta nel suddetto Advisory ed è priva di ogni fondamento.
Come indicato dall’informativa ufficiale, l’atteggiamento consigliato è quello di porre estrema cautela nell’apertura degli allegati ricevuti sia da fonti note che sconosciute.