Microsoft Memperingatkan Serangan Zero-Day Office: Tidak Ada Patch yang Tersedia

Mata-mata dan penjahat siber Rusia secara aktif mengeksploitasi kelemahan keamanan yang masih belum ditambal pada produk Microsoft Windows dan Office, menurut peringatan penting terbaru dari pembuat perangkat lunak terbesar di dunia.

Dalam sebuah langkah yang tidak biasa, Microsoft mendokumentasikan "serangkaian kerentanan eksekusi kode jarak jauh (remote code)" yang berdampak pada pengguna Windows dan Office dan mengonfirmasi bahwa mereka sedang menyelidiki beberapa laporan serangan eksekusi kode yang ditargetkan menggunakan dokumen Microsoft Office.

Para ahli respons keamanan Redmond menandai kelemahan Office yang belum ditambal dengan pengidentifikasi CVE-2023-36884 dan mengisyaratkan bahwa tambalan di luar jaringan dapat dirilis sebelum Patch Selasa bulan depan.

Dari buletin CVE-2023-36884:

"Microsoft sedang menyelidiki laporan tentang serangkaian kerentanan eksekusi kode jarak jauh yang berdampak pada produk Windows dan Office. Microsoft menyadari adanya serangan yang ditargetkan yang mencoba mengeksploitasi kerentanan ini dengan menggunakan dokumen Microsoft Office yang dibuat khusus.

Seorang penyerang dapat membuat dokumen Microsoft Office yang dibuat khusus yang memungkinkan mereka melakukan eksekusi kode jarak jauh dalam konteks korban. Namun, penyerang harus meyakinkan korban untuk membuka file berbahaya tersebut.

Setelah menyelesaikan penyelidikan ini, Microsoft akan mengambil tindakan yang tepat untuk membantu melindungi pelanggan kami. Hal ini mungkin termasuk menyediakan pembaruan keamanan melalui proses rilis bulanan kami atau menyediakan pembaruan keamanan di luar siklus, tergantung pada kebutuhan pelanggan."

Dalam blog terpisah, tim intelijen ancaman Microsoft mengatakan bahwa mereka menandai kampanye phishing dengan eksploitasi zero-day Office yang menargetkan entitas pertahanan dan pemerintah di Eropa dan Amerika Utara. "Kampanye ini melibatkan penyalahgunaan CVE-2023-36884, yang mencakup kerentanan eksekusi kode jarak jauh yang dieksploitasi melalui dokumen Microsoft Word, dengan menggunakan iming-iming yang terkait dengan Kongres Dunia Ukraina," perusahaan memperingatkan.

Microsoft Office zero-day menjadi berita utama Patch Monster Selasa yang melihat rilis patch untuk lebih dari 130 cacat keamanan yang terdokumentasi dalam ekosistem Microsoft Windows.

Menurut data dari ZDI, sebuah perusahaan yang melacak patch perangkat lunak, sembilan dari kekurangan tersebut dinilai 'kritis', peringkat keparahan tertinggi dari Microsoft.

"Volume perbaikan ini adalah yang tertinggi yang pernah kami lihat dalam beberapa tahun terakhir," kata ZDI, memperingatkan bahwa setidaknya lima bug terdaftar dalam kategori "terdeteksi eksploitasi".

Pembuat perangkat lunak Adobe juga mengirimkan tambalan mendesak untuk kelemahan keamanan di lini produk InDesign dan ColdFusion.

Pembaruan Adobe InDesign, tersedia untuk Windows dan macOS, memperbaiki kelemahan eksekusi kode dengan tingkat keparahan kritis dan 11 bug keamanan memori tambahan yang menyebabkan masalah kebocoran memori. Adobe memuji Yonghui Han dari FortiGuard Labs Fortinet yang secara pribadi melaporkan bug tersebut.

Buletin keamanan kedua juga dirilis dengan tambalan untuk trio cacat keamanan yang memengaruhi Adobe ColdFusion versi 2023, 2021, dan 2018.

"Pembaruan ini menyelesaikan kerentanan kritis dan penting yang dapat menyebabkan eksekusi kode sewenang-wenang dan bypass fitur keamanan," kata Adobe, memberikan perhatian khusus pada CVE-2023-29300, deserialisasi bug data yang tidak tepercaya dengan skor keparahan CVSS 9,8 dari 10. Awal tahun ini, Adobe mengungkapkan "serangan terbatas" yang mengeksploitasi kerentanan zero-day ColdFusion.

--

Artikel ini diterjemahkan dari berita yang berjudul "Microsoft Warns of Office Zero-Day Attacks, No Patch Available" dibuat oleh Ryan Naraine pada 11 Juli 2023.