Een onbekend beveiligingslek in Office voor Mac 2011 en Office 2003 is actief gebruikt om gebruikers aan te vallen, zo laat Microsoft weten. De kwetsbaarheid was door twee medewerkers van Google ontdekt en aan Microsoft gerapporteerd. De aanvallen zouden voornamelijk tegen Office-gebruikers in Indonesië en Maleisië zijn ingezet, aldus Microsoft.

Het lek werd veroorzaakt door de manier waarop Office met ingebedde PNG-afbeeldingen omging. Door het toevoegen van een kwaadaardige PNG-afbeelding was het voor een aanvaller mogelijk om een buffer overflow te veroorzaken en zo willekeurige code op het systeem met de rechten van de gebruiker uit te voeren.

Oudere versies van Office voor Windows beschikken niet over beveiligingsmaatregelen om dit soort exploits te voorkomen, maar nieuwere versies doen dat wel, zegt Neil Sikka van Microsoft.

EMET
Om gebruikers van deze oudere versies te beschermen ontwikkelde Microsoft de Enhanced Mitigation Experience Toolkit (EMET), die een extra beveiligingslaag toevoegt. Uit onderzoek van Microsoft blijkt dat Office 2003-gebruikers die EMET 3.0 gebruikten tegen de zero-day-aanval beschermd waren. Inmiddels heeft Microsoft de update uitgebracht om het lek te dichten.