Microsoft thừa nhận lỗi của Excel

Các cuộc tấn công khai thác lỗ hổng trong hầu hết các phiên bản của Excel vẫn đang diễn ra, nhóm bảo mật của Microsoft thông báo hôm thứ 3.

Các cuộc tấn công mà nhóm bảo mật tiếp nhận phản hồi về bảo mật của Microsoft (MSRC) nói giảm xuống thành “có mục đích, và chưa lan rộng” đang tận dụng lỗ hổng tìm thấy trong Excel 2000, Excel 2002, Excel 2003 Service Pack 2, Excel Viewer 2003 và Excel 2004 cho máy Mac. Những phiên bản mới hơn bao gồm Excel 2003 SP3, Excel 2007 và Excel 2008 cho máy Mac không bị ảnh hưởng.

“Microsoft ý thức được những cuộc tấn công có mục đích đặc biệt nhằm khai thác những lỗ hổng này, và chúng tôi đang tích cực điều tra báo cáo của dư luận cũng như ảnh hưởng gây ra cho khách hàng”, Tim Rains, thuộc MSRC cho biết.

Theo bản “Tư vấn bảo mật” mà Microsoft gửi đi tối hôm thứ 3, lỗ hổng- đến giờ vẫn chưa xác định được- có thể cho phép kẻ tấn công tước quyền điều khiển PC từ chính chủ. Bản tư vấn cho rằng kẻ tấn công đã đính kèm tài liệu độc hại trong email hoặc trên một website và thuyết phục người sử dụng mở nó. Những sai sót trong định dạng file Office, đặc biệt trong Excel, không phải là mới. Lỗi trong Word, Excel và PowerPoint đã bị hacker phát hiện và khai thác suốt gần 2 năm nay.

Thay vì cam kết sẽ đưa ra bản vá lỗi, Microsoft khuyến cáo người sử dụng Office 2003 mở file Excel nghi ngờ thông qua MOICE (Microsoft Office Isolated Conversion Environment), một công cụ miễn phí ra mắt hồi năm ngoái giúp chuyển đổi các tài liệu định dạng Office 2003 sang định dạng Office 2007 có độ an toàn cao hơn, loại bỏ mã khai thác nếu có. Người sở hữu cũng có thể khóa tất cả các file định dạng Office 2003 và trước đó, trừ khi chúng nằm trong “khu vực tin cậy” bằng cách sử dụng File Block, chương trình bảo vệ mới nhất đòi hỏi phải sửa lại đăng ký của Windows hay cài đặt của Group Policy.

Trớ trêu thay, File Block- được mặc định lần đầu tiên trong Office 2007, sau đó trong Office 2003 SP3 nâng cấp hồi tháng 9- lại vấp phải sự phản đối của một bộ phận người sử dụng trong tuần qua bởi nó quá rắc rối. Microsoft đang cố gắng xoa dịu bằng cách đơn giản hóa việc mở khóa những định dạng cũ hơn, nhưng định dạng này đã bị cấm.

Lần cuối Microsoft vá lỗi 1 phiên bản Excel là tháng 8 năm 2007, khi cho ra đời MS07-044 sửa chữa một lỗi định dạng tương tự trong Excel 2000, Excel 2002, Excel 2003 và Excel 2004 cho máy Mac.