O nouă deficienţă în modul în care aplicaţiile Microsoft Office manevrează fişierele Macromedia Flash expune utilizatorii la atacuri informatice, au avertizat experţii în securitate.

Fişierele Flash integrate în documentele Office ar putea rula şi executa cod fără nici un avertisment, a anunţat Symantec într-o alertă publicată joi. Problema de securitate din Office este cea de-a treia în timp de o săptămână.

"Un atac lansat cu succes le-ar putea permite atacatorilor să acceseze informaţii sensibile şi să execute comenzi maliţioase pe un computer vulnerabil", a anunţat Symantec în alerta de securitate. Vulnerabilitatea a fost raportată de cercetătorul Debasis Mohanty.

Problema se leagă de posibilitatea de a încărca controale ActiveX într-un document Office şi nu este o vulnerabilitate, ci o funcţie a Office, a declarat un reprezentant al Microsoft. "Acest comportament este intenţionat şi nu reprezintă un risc de securitate pentru consumatori", a declarat el. Controalele ActiveX sunt mici aplicaţii utilizate de obicei pentru a face site-urile web mai interactive.

Cu toate acestea, Microsoft a recunoscut că această funcţionalitate poate fi abuzată de un atacator pentru a încărca automat un control ActiveX pe sistemul unui utilizator printr-un document Office. În prezent, Microsoft nu are cunoştinţă de existenţa unor controale ActiveX care i-ar putea permite unui atacator să preia controlul asupra unui PC vulnerabil în acest mod, a anunţat reprezentantul companiei.

"Microsoft va continua să investigheze rapoartele publice pentru a le putea oferi utilizatorilor asistenţă pe măsură ce aceasta devine necesară", a anunţat Microsoft. Dacă sunt depistate controale ActiveX vulnerabile, este posibilă prevenirea execuţiei în versiunile recente ale Office prin setarea unui aşa-numit "killbit" pentru aceste controale, conform Microsoft.

Problema ActiveX este cea de-a treia problemă de securitate legată de Office care apare în decurs de o săptămână. Marţi, Microsoft a confirmat că o deficienţă legată de o componentă Windows numită "hlink.dll" ar putea fi exploatată prin crearea unui fişier Excel maliţios. Săptămâna trecută, Microsoft a anunţat că o deficienţă din Excel a fost exploatată în cel puţin un atac informatic.

Pentru exploatarea uneia din noile deficienţe de securitate, atacatorul ar trebui să realizeze un fişier maliţios şi să îl găzduiască pe o pagină web, să îl trimită prin e-mail ori prin alte mijloace victimei. Încercarea poate avea succes doar dacă fişierul este deschis pe un PC vulnerabil.