Um grave problema de segurança afetou os aplicativos do Microsoft 365 que suportam o formato de arquivo SketchUp, usado para armazenar dados de modelos 3D. A Microsoft removeu temporariamente o suporte a esse formato depois que pesquisadores da Zscaler ThreatLabz descobriram que as correções que a empresa emitiu para resolver 117 falhas de segurança nos aplicativos do Microsoft 365 foram contornadas, de acordo com o SecurityWeek.

As vulnerabilidades encontradas pelos pesquisadores incluem problemas de escrita fora dos limites, estouro de buffer no heap, uso após liberação, estouro de buffer na pilha, estouro de inteiro e confusão de tipo, que podem ser explorados para executar código remoto através de um arquivo SketchUp especialmente criado.

Além disso, as imagens incorporadas nos arquivos SKP eram analisadas por meio da biblioteca de terceiros FreeImage, que não era atualizada há cinco anos e continha 97 vulnerabilidades reprodutíveis no Microsoft 365. Essas ameaças podem colocar tanto o próprio computador quanto projetos criados através da plataforma da big tech.

Segundo informações, a desenvolvedora corrigiu todas as vulnerabilidades de execução remota de código, identificadas pelos especialistas como CVE-2023-28285, CVE-2023-29344 e CVE-2023-33146, por meio de patches emitidos entre abril e junho, mas essas correções foram burladas pelos pesquisadores da Zscaler ThreatLabz.

A pesquisa descobriu instantaneamente 20 falhas, seguidas de perto por outras 97, que vão desde gravação fora dos limites até estouro de buffer de pilha e, finalmente, vulnerabilidades de estouro de buffer de heap. A decisão de desabilitar temporariamente o suporte ao SketchUp impedirá a exploração de versões que foram corrigidas e limitará o impacto potencial.

Considerando o histórico da empresa na resolução de problemas, é esperado que um update emergencial seja lançado ainda nos próximos dias a fim de corrigir esse e outros defeitos.