Cette faille a été découverte par la société de sécurité Cymulate. Cette faille est facilement exploitable et tout utilisateur de la suite Office 2016 ou antérieure, peut en être victime.

Word permet d'insérer une vidéo dans un document au moyen de la fonctionnalité 'Vidéo en ligne' et c'est dans cette fonctionnalité que se situe la faille qui, exploitée, permet l'exécution de code malveillant.

La façon d'exploiter cette faille est décrite dans un billet de Cymulate. Il suffit d'embarquer une vidéo légitime dans un document Word, puis de sauvegarder le document Word sous le format docx.

Le saviez-vous ? Les fichiers docx sont en réalité un archive de tous les fichiers constituant le contenu final d'un document Word. Ceci peut facilement être constaté en renommant un fichier .docx en .zip, puis en décompressant l'archives Zip.

C'est justement comme cela que l'on exploite la faille. Une fois le fichier document.xml obtenu, il suffit d'y rechercher le paramètre embeddedHtml qui contient, par exemple, le code iframe d'une vidéo YouTube légitime embarquée. Il n'y a plus qu'à remplacer le iframe par du code html / javascript qui sera rendu / exécuté par Internet Explorer à l'ouverture du fichier.

Aussi simple que cela...

Cymulate a signalé la faille à Microsoft.

Dans son billet mentionné plus haut, Cymulate présente une preuve de concept (vidéo ci-dessous) invoquant la méthode msSaveOrOpenBlob pour déclencher le téléchargement d'un exécutable avec permettant d'exécuter ou d'enregistrer le fichier, ceci sans que Word n'affiche le moindre avertissement.