CVE-2023-21716

Podatność jest powiązana z CWE-190, czyli przepełnieniem liczby całkowitej (integer overflow), które może prowadzić do nieprawidłowego przetwarzania danych przez Microsoft Word. Atakujący może wykorzystać tę lukę poprzez sieć (wektor AV:N) bez żadnych wymagań dotyczących uprawnień (PR:N) ani interakcji po stronie ofiary (UI:N). Szczegółowy mechanizm eksploitacji nie został ujawniony w publicznym opisie producenta, jednak kompletny wektor CVSS wskazuje na możliwość pełnego przejęcia kontroli nad systemem.

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu na systemie ofiary, co może skutkować pełnym przejęciem poufności, integralności i dostępności danych — wszystkie trzy wskaźniki CVSS osiągają poziom wysoki (H).

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w Microsoft Security Response Center (MSRC) pod adresem: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21716. Zaleca się priorytetowe wdrożenie aktualizacji z Patch Tuesday z lutego 2023 roku.

Microsoft Word oraz powiązane produkty pakietu Microsoft Office, Microsoft Office Long Term Servicing Channel, Microsoft Office Online Server, Microsoft Office Web Apps, Microsoft SharePoint Enterprise Server — wersje wskazane w referencjach producenta (MSRC).

Podatność opublikowana w ramach cyklu Patch Tuesday dnia 14 lutego 2023 roku. Mimo braku potwierdzenia aktywnej eksploitacji w CISA KEV, wynik CVSS 9.8 z wektorem niewymagającym uwierzytelnienia ani interakcji użytkownika uzasadnia pilne wdrożenie poprawek.