CVE-2009-0556

🧐 Суть уязвимости

Уязвимость в Microsoft Office PowerPoint позволяет удаленному злоумышленнику выполнить произвольный код на компьютере жертвы. Для этого атакующий создает специальный файл презентации (.ppt, .pps и т.д.), содержащий искаженную структуру данных OutlineTextRefAtom. При открытии такого файла в PowerPoint происходит повреждение памяти (memory corruption), которое может привести к выполнению вредоносного кода с правами текущего пользователя.

Вектор атаки: Отправка файла по email, размещение на веб-сайте, передача через съемный носитель.

🛠️ Как исправить

Установите официальный патч от Microsoft. Обновление зависит от вашей версии Office и операционной системы.

Для Microsoft Office PowerPoint 2000, 2002 (XP), 2003: * Установите обновление безопасности MS09-017. * Конкретные номера обновлений KB: * PowerPoint 2000: KB967340 * PowerPoint 2002: KB967340 * PowerPoint 2003: KB967340

Для Microsoft Office PowerPoint 2007: * Установите обновление безопасности MS09-017. * Номер обновления: KB967340.

Способ установки (Windows): 1. Откройте Панель управления -> Центр обновления Windows. 2. Нажмите "Проверить наличие обновлений". 3. Убедитесь, что установлены все важные обновления, включая MS09-017. 4. Или скачайте обновление вручную с сайта Microsoft Update Catalog по номеру KB.

Для Linux-систем, использующих Wine или аналоги: Уязвимость напрямую не затрагивает Linux, но если вы запускаете уязвимую версию PowerPoint через Wine, обновите Wine до последней версии и избегайте открытия непроверенных файлов Office.

# Для обновления Wine в Ubuntu/Debian:
sudo apt update
sudo apt install --upgrade wine

🛡️ Временное решение

Если немедленная установка патча невозможна, примените следующие меры:

1. Используйте блокировку файлов в Microsoft Office:

   • Откройте PowerPoint.
   • Перейдите в Файл -> Параметры -> Центр управления безопасностью -> Параметры центра управления безопасностью.
   • Выберите "Параметры блокировки файлов".
   • Установите флажок "Открывать в режиме защищенного просмотра файлы, полученные из Интернета".

2. Настройте политики ограниченного использования программ (AppLocker или Software Restriction Policies):

   • Заблокируйте выполнение PowerPoint из временных каталогов (например, %TEMP%, %USERPROFILE%\Downloads), откуда обычно запускаются файлы из интернета.

3. Обновите сигнатуры антивируса и EDR:

   • Убедитесь, что антивирусное ПО и системы обнаружения угроз (EDR) имеют актуальные сигнатуры для детектирования эксплойтов, использующих CVE-2009-0556.

4. Повышайте осведомленность пользователей:

   • Инструктируйте сотрудников не открывать вложения PowerPoint из непроверенных источников.
   • Рекомендуйте использовать Режим защищенного просмотра для всех файлов, полученных извне.

5. На уровне сети (если применимо):

   • Настройте правила на почтовом шлюзе или WAF на блокировку или "песочницу" для вложений с расширениями .ppt, .pps, .pptx, .pptm, если они не являются критичными для бизнеса.