0xNews - 윈도우 사용자를 대상으로 한, MS 오피스 문서를 악용한 제로데이 공격 발견

MS 보안센터 발표

CVE-2021-40444 지정

CVSS 8.8

원격 코드 실행 RCE Remote Code Execution

현재 단종된 MS 인터넷 익스플로러용 브라우저 엔진인 MSHTML Trident 라고도 하는 것에 기원을 둠

MS 오피스 내부 웹 콘텐츠인 워드, 엑셀, 파워포인트 문서를 렌더링하는데 사용

MS 는 MS 윈도우에 영향을 미치는 MSHTML 의 RCE 취약점에 대한 보고에 대해 조사를 진행 중

특수하게 만들어진 MS 오피스 문서를 사용하여 취약점을 악용하려는 표적 공격으로 인지하여 조사

공격자는 브라우저 렌더링 엔진을 호스팅하는 MS 오피스 문서에서 사용하도록 악의적인 엑티브X 컨트롤 제작 가능

사용자가 악의적인 문서를 열도록 유도

MS는 이번 취약점을 보고한 EXPMON, Mandiant 에 대해 감사 표함

EXPMON 은 MS 오피스 사용자를 대상으로 한 매우 정교한 제로데이 공격에 대한 모니터링과 이와 관련 조사를 진행하다 이번 취약점을 발견

MS 에 해당 취약점 보고

이 취약점은 논리적 취약점을 사용함으로써 시스템으로 하여금 완벽하게 신뢰하게 만드는 로직으로 구성되어 있기에 매우 위험하다고 경고

EXPMON 트위터에서의 이번 취약점 의견 발표 링크

하지만 이번 취약점은 신뢰할 수 없는 파일이 신뢰할 수 있는 리소스에 접근하는 것을 방지하도록 설계된 제한된 보기나 오피스의 애플리케이션 가드에서 열리는 기본 구성을 통해 기본적인 방어가 가능

현재 해당 취약점은 MS 에서 공식 보안 패치를 발표하기 전

기업용 MS 오피스에 대해 긴급 패치 등을 할 것으로 예상

패치 배포 전 MS 익스플로러의 모든 액티브X 컨트롤을 비활성화하여 잠재적인 공격을 완화할 것을 권고

openLab