Mobile-Menu

Kritische Sicherheitslücken in Office-Alternative Malware-Angriffe durch Schwachstellen in WPS Office möglich

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
sysob IT-Distribution GmbH & Co. KG
FTAPI Software GmbH

Sicherheitsforscher haben Schwachstellen in der beliebten Office-Lösung WPS-Office identifiziert. Angreifer nutzen diese Sicherheitslücken aktuell bereits aktiv aus und können dadurch Malware auf den PC des Anwenders übertragen.

Eine Hackergruppe nutzt Schwachstellen in der Office-Alternative WPS Office aus, die eine vollständige Remote-Code-Ausführung ermöglicht.(Bild: Viks_jin - stock.adobe.com)
Eine Hackergruppe nutzt Schwachstellen in der Office-Alternative WPS Office aus, die eine vollständige Remote-Code-Ausführung ermöglicht.
(Bild: Viks_jin - stock.adobe.com)

Die beliebte Office-Lösung WPS ist nach einer Analyse von ESET angreifbar. Es ist möglich, dass Angreifer Malware auf den betroffenen Systemen ausführen können.

Mehrere Schwachstellen in WPS-Office

ESET-Forscher haben zwei Schwachstellen zur Ausführung beliebigen Codes in WPS Office für Windows entdeckt, die von der südkoreanisch ausgerichteten APT-Gruppe APT-C-60 ausgenutzt werden. Dabei handelt es sich um die Schwachstellen CVE-2024-7262 und CVE-2024-7263 (beide CVSS4-Score 9.3). Die Entwickler stellen bereits Updates zur Verfügung.

Die Schwachstelle CVE-2024-7262 resultiert aus unzureichender Überprüfung von Dateipfaden und Plug-in-Validierungen in der Software. Angreifer können diese Sicherheitslücke ausnutzen, um über präparierte Dokumente, etwa in Form von MHTML-Dateien, Schadcode auszuführen. APT-C-60 hat diese Schwachstelle genutzt, um einen Trojaner namens SpyGlace, bekannt unter der Komponente TaskControler.dll, zu verbreiten.

Die Analyse zeigte, dass die erste Schwachstelle nur unvollständig behoben wurde. Dadurch entdeckten die Forscher CVE-2024-7263, eine weitere Möglichkeit, die fehlerhafte Codebasis der Software auszunutzen. Die Ausnutzung dieser Schwachstellen basiert auf der Manipulation eines von WPS Office registrierten benutzerdefinierten Protokollhandlers namens „ksoqing“. Dieser Handler führt externe Anwendungen aus, sobald auf eine URL geklickt wird, die mit diesem Protokoll beginnt. Hier setzen die Angreifer an, um über gezielte Manipulationen von Kommandozeilenparametern die Kontrolle über die Ausführung von Plug-ins zu übernehmen.

Besonders gefährlich ist die Kombination aus der Möglichkeit, Dateien über das MHTML-Format herunterzuladen, und der fehlerhaften Validierung der Kommandozeilenparameter. Dadurch entsteht eine mächtige Exploit-Kette, die eine vollständige Remote-Code-Ausführung ermöglicht. So können Angreifer gezielt Schadsoftware einschleusen, ohne dass der Nutzer das Risiko sofort erkennt. Nutzer von WPS Office sollten daher dringend ihre Software auf die neueste Version aktualisieren, um sicherzustellen, dass sie vor der Ausnutzung dieser Schwachstellen geschützt sind.

(ID:50152426)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte