Уязвимость BDU:2026-00828 (CVE-2026-21509) представляет собой критический дефект в механизмах обработки OLE/COM-объектов в Microsoft Office. Суть проблемы заключается в использовании ненадежных входных данных, что позволяет злоумышленнику обойти встроенные механизмы защиты, блокирующие загрузку потенциально опасных COM/OLE-контролов. Эксплуатация уязвимости не требует сложных условий: достаточно, чтобы жертва открыла специально сформированный документ.
Анализ уязвимости
Уровень опасности: 7.8 — Высокий
Вектор атаки: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- Вектор атаки (AV): Локальный
- Сложность атаки (AC): Низкая
- Необходимые привилегии (PR): Нет
- Взаимодействие с пользователем (UI): Требуется
- Область воздействия (S): Не оказывает
- Конфиденциальность ©: Полное нарушение
- Целостность (I): Полное нарушение
- Доступность (A): Полное нарушение
Уязвимые версии
Microsoft 365 и Office LTSC
- Microsoft 365 Apps for Enterprise (32-bit, 64-bit)
- Microsoft Office LTSC 2024 (32-bit, 64-bit)
- Microsoft Office LTSC 2021 (32-bit, 64-bit)
Microsoft Office
- Microsoft Office 2019 — до 16.0.10417.20095 (32-bit, 64-bit)
- Microsoft Office 2016 — до 16.0.5539.1001 (32-bit, 64-bit)
Условия эксплуатации
Для успешной эксплуатации уязвимости злоумышленнику не требуется находиться во внутренней сети целевой организации или обладать привилегированным доступом к инфраструктуре. Ключевые условия атаки:
- Атакующий имеет возможность доставить специально сформированный документ (DOCX, XLSX и т. п.) пользователю. 🔒🔒.
- Жертва должна открыть документ 🔒🔒🔒.
- 🔒🔒🔒.
🔒 Условия эксплуатации и ссылки на эксплоиты — только в закрытом канале
На блоге: CVE, CVSS, вектор атаки — информация из открытых источников.
В канале: уникальный анализ, который позволяет:
- Понять, применима ли уязвимость к вашим системам
- Получить ссылки на эксплоиты для проверки своих систем
- Еженедельно получать разборы новых уязвимостей