اكتشفت ثغرة ActiveX خطيرة يتم استغلالها عن طريق المتصفح في Microsoft Office Web Components Control تسمح بتنفيذ أكواد ضارة عن بعد. يتم استغلال الثغرة حاليّاً بشكل مكثّف في كثير من المواقع قبل صدور أي ترقيع لها وهو ما حدا بمواقع أمن المعلومات الشهيرة لرفع التهديد إلى الدرجة الثانية والثالثة.

يعود سبب الثغرة لوجود خطأ برمجي في Microsoft Office Web Components Control وهو متحكّم ActiveX مسؤول عن عرض ملفات Microsoft Office داخل متصفح Internet Explorer, يتم استغلال الثغرة بمجرد قيام المستخدم بفتح رابط لملف Excel يحتوي على أكواد ضارة يتم تنفيذها على جهاز المستخدم مستغلة الخطأ البرمجي الموجود في متحكّم ActiveX. شركة مايكروسوفت أصدرت تحذير أمني بخصوص الثغرة وتعمل حاليا على اصدار ترقيع أمني متوقع صدوره غداً ان شاء الله.

الاصدارات المعرضة للثغرة هي:

• Microsoft Office XP Service Pack 3
• Microsoft Office 2003 Service Pack 3
• Microsoft Office XP Web Components Service Pack 3
• Microsoft Office 2003 Web Components Service Pack 3
• Microsoft Office 2003 Web Components for the 2007 Microsoft Office system Service Pack 1
• Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3
• Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3
• Microsoft Internet Security and Acceleration Server 2006
• Internet Security and Acceleration Server 2006 Supportability Update
• Microsoft Internet Security and Acceleration Server 2006 Service Pack 1
• Microsoft Office Small Business Accounting 2006

الحلول المتوفر حالياً هي:

1. تعطيل ActiveX المصاب في المتصفّح.
2. تحميل الاصلاح الأمني من مايكروسوفت (اصلاح مؤقت وليس ترقيع للثغرة)
3. استعمال متصفح آخر غير انترنت اكسبلورر.

الجدير بالذكر أن هذه هي ثاني ثغرة 0-day تكتشف في متحكمات ActiveX انتشر استغلالها في العشرة أيام الماضية قبل صدور ترقيع لها. حيث اكتشفت الثغرة الأولى في Microsoft DirectShow أما هذه الثانية في Microsoft Office Web Components Control والثغرتين لا يتطلّبوا أي تفاعل من المستخدم ويمكن استغلالهم بشكل مباشر عن طريق متصفح Internet Explorer.

لمزيد من المعلومات: ISC.SANS – TechNet – Microsoft Security Advisory

عن الكاتب:

باحث عن المعرفة, طالب ماجستير باحث في أمن المعلومات و مدوّن يهتم في العديد من الجالات المتعلّقة بالشبكات, الحماية والأنظمة المفتوحة المصدر.