💻 Produits concernés

• Microsoft Office 2016
• Microsoft Office 2019
• Office LTSC 2021
• Office LTSC 2024
• Microsoft 365 Apps for Enterprise

⚠️ Comment fonctionnent les attaques

Les attaquants envoient des documents Word ou Excel malveillants via du phishing ou de l'ingénierie sociale. Lorsqu'un utilisateur ouvre le fichier, les mécanismes de confiance d'Office sont contournés — ce qui facilite l'exécution de contenu nuisible.

🛠️ Comment l'utiliser et le tester

1. Installer : pip install python-docx olefile

2. Exécuter : python3 CVE-2026-21509.py --output test.docx --clsid YOUR_CLSID

3. Tester : Ouvrir test.docx dans une VM Office vulnérable (avant correctif). Surveiller avec ProcMon ; si le contournement fonctionne, l'OLE se charge sans invite de blocage.

4. Améliorer :

   • Utiliser oletools (pip install oletools) : rtfobj pour créer un OLE RTF, ou olevba pour ajouter un auto-run VBA.
   • Remplacer le CLSID par un COM non sécurisé (par ex., contrôles MSCOMCTL.OCX) depuis OleViewDotNet.
   • Pour un contournement complet : intégrer un ActiveX avec des propriétés malveillantes (rechercher des exploits OLE comme CVE-2017-11882 pour des modèles).
   • Appliquer le kill bit du registre (comme dans l'avis) → re-tester pour confirmer le blocage.

Si le PoC Python pour CVE-2026-21509 fonctionne correctement (sur un système avec les bibliothèques requises installées), voici exactement ce que vous verriez étape par étape :

1. Exécution du script (sortie du terminal)

Sortie de succès attendue :

• Signes clés :
  • Aucune erreur (par ex., pas de ImportError, OSError ou problèmes XML).
  • Deux fichiers créés : test.docx (le document malveillant) et embedded_ole.bin (le flux OLE pour référence).
  • Le script s'exécute en quelques secondes (génération rapide de fichiers).

En cas d'échec (par ex., python-docx ou olefile manquant) :

Correctif : pip install python-docx olefile

2. Ouverture du DOCX généré dans Office vulnérable

• Sur Office vulnérable (avant le correctif du 26 janvier 2026, par ex., Office 2016/2019 non corrigé) :

  • Le fichier s'ouvre normalement (pas d'invite de vue protégée si contourné, ou pas d'avertissement OLE « Bloqué »).
  • L'objet OLE intégré se charge silencieusement ou affiche un espace réservé/une icône.
  • Indicateurs de succès (via des outils de surveillance) :
    • ProcMon (Process Monitor) : rechercher des lectures de registre liées à OLE (par ex., sous HKCR\CLSID\{EAB22AC3-...}) sans événements de blocage.
    • Aucune boîte de dialogue « Avertissement de sécurité » pour les contrôles OLE.
    • Si la charge utile est étendue (par ex., avec VBA ou shellcode dans une vraie recherche) : exécution de code potentielle (par ex., calc.exe s'ouvre, fichier écrit, etc.).
  • Visuel : le document affiche votre texte (« Test document... ») + une icône/une zone d'objet intégré (peut apparaître vide ou comme « Package »).

• Sur Office corrigé (ou avec le kill bit du registre appliqué) :

  • L'objet OLE est bloqué : « Cet objet ne peut pas être créé » ou un avertissement similaire.
  • Le document s'ouvre mais le contenu intégré ne se charge pas (zone grise ou espace réservé d'erreur).

Tableau récapitulatif rapide

Conseils de pro :

• Tester dans un instantané de VM Windows (désactiver Defender temporairement pour la recherche).
• Améliorer : utiliser oletools pour inspecter le DOCX (olevba test.docx ou rtfobj) et ajouter de vraies données OLE malveillantes.
• Si aucun OLE ne se charge : le CLSID est peut-être invalide — le remplacer par un CLSID non sécurisé connu depuis OleViewDotNet.exe (outil gratuit).

Corrigez Office immédiatement si vous êtes concerné ! Si vous l'exécutez et obtenez une sortie/des erreurs spécifiques, collez-les ici pour le débogage. 😈

🛠️ Correctif et atténuation

✅ Statut du correctif

• Microsoft a publié des mises à jour d'urgence hors bande en janvier 2026.
• Les utilisateurs de Microsoft 365 doivent généralement simplement redémarrer Office.
• Les utilisateurs d'Office 2016/2019 doivent installer la mise à jour manuellement.

🔒 Protection temporaire (si non corrigé)

• Des atténuations basées sur le registre sont disponibles pour bloquer les comportements malveillants jusqu'à l'application du correctif.

⚠️ Avertissement :

Ces informations sont fournies à des fins de sensibilisation et de sécurité défensive uniquement. Aucune responsabilité n'est assumée en cas d'utilisation abusive ou d'inexactitudes.