Follina (CVE-2022-30190): документ Word, выполнявший код без макросов

Публично раскрыта: 30 мая 2022

В конце мая 2022 года исследователи обнаружили документы Word, которые при открытии через протокол ms-msdt: запускали средство диагностики поддержки Microsoft и выполняли команды PowerShell. Защита от макросов не помогала, а с RTF-файлами хватало даже области предпросмотра в Проводнике. Microsoft опубликовала рекомендации 30 мая 2022 года и исправила уязвимость в июньских обновлениях. Её использовали в реальных атаках, в том числе государственные группировки.

Как защититься

1. Установите обновления.
2. До исправления обходной путь Microsoft — отключить протокол ms-msdt (сначала экспортируйте ключ, чтобы его можно было восстановить):

reg export HKEY_CLASSES_ROOT\ms-msdt ms-msdt-backup.reg
reg delete HKEY_CLASSES_ROOT\ms-msdt /f

3. Используйте фильтрацию почты и проверку вложений в песочнице; запретите Office создавать дочерние процессы правилами Attack Surface Reduction.
4. Учите сотрудников не открывать неожиданные документы.

Правильные привычки обновления Windows

• Устанавливайте обновления Patch Tuesday (второй вторник каждого месяца) за несколько дней на системах, доступных из интернета, и за две недели на остальных.
• Следите за внеплановыми обновлениями — Microsoft выпускает их только для серьёзных проблем.
• Заменяйте версии Windows, которые больше не получают обновлений безопасности.

Источники: Microsoft MSRC guidance, NVD CVE-2022-30190.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи