Falha de vCard sem correção pode permitir que hackers invadam seus PCs com Windows

Uma vulnerabilidade de dia zero foi descoberta e relatada no sistema operacional Windows da Microsoft que, sob um determinado cenário, poderia permitir que um invasor remoto executasse um código arbitrário na máquina Windows.

Descoberto pelo pesquisador de segurança John Page (@ hyp3rlinx), a vulnerabilidade foi reportada à equipe de segurança da Microsoft através do Programa Zero Day Initiative (ZDI) da Trend Micro há seis meses, que a gigante de tecnologia se recusou a corrigir, pelo menos por enquanto. A vulnerabilidade, a qual não foi atribuído nenhum número CVE, reside realmente no processamento de um arquivo vCard – um formato de arquivo padrão para armazenar informações de contato de uma pessoa ou empresa, que também é suportado pelo Microsoft Outlook.

Segundo o pesquisador, um invasor remoto pode criar um arquivo VCard de forma maliciosa de forma que o URL do site do contato armazenado no arquivo aponte para um arquivo executável local, que pode ser enviado em um arquivo compactado por email ou entregue separadamente por meio de drive. técnicas de download

Como mostrado na demonstração em vídeo, se a vítima clicar no URL desse site, o sistema operacional Windows executará o executável malicioso sem exibir nenhum aviso, em vez de abrir o endereço da Web no navegador.

“Dados criados em um arquivo VCard podem fazer com que o Windows exiba um hiperlink perigoso”, escreveu o pesquisador em um comunicado . “A interface do usuário não fornece qualquer indicação do perigo. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto do usuário atual.”

Obviamente, “a interação do usuário é necessária para explorar esta vulnerabilidade, pois o alvo deve visitar uma página maliciosa ou abrir um arquivo malicioso”.

Embora o ataque exija a interação do usuário, deixar a vulnerabilidade sem correção deixaria uma oportunidade para invasores sofisticados segmentarem usuários do Windows como um todo.

O pesquisador também publicou código de exploração de prova de conceito para a vulnerabilidade, ao qual foi atribuída uma pontuação CVSS 3.0 de 7,8.