💻 Produtos Afetados

• Microsoft Office 2016
• Microsoft Office 2019
• Office LTSC 2021
• Office LTSC 2024
• Microsoft 365 Apps for Enterprise

⚠️ Como os ataques funcionam

Os atacantes enviam documentos maliciosos do Word ou Excel por meio de phishing ou engenharia social. Quando um usuário abre o arquivo, os mecanismos de confiança do Office são contornados — facilitando a execução de conteúdo prejudicial.

🛠️ Como Usar e Testar

1. Instalar: pip install python-docx olefile

2. Executar: python3 CVE-2026-21509.py --output test.docx --clsid YOUR_CLSID

3. Testar: Abra test.docx em uma VM com Office vulnerável (antes do patch). Monitore com ProcMon; se o bypass funcionar, o OLE carrega sem prompt de bloqueio.

4. Aprimorar:

   • Use oletools (pip install oletools): rtfobj para criar OLE em RTF, ou olevba para adicionar execução automática via VBA.
   • Substitua o CLSID por um COM inseguro (ex.: controles MSCOMCTL.OCX) do OleViewDotNet.
   • Para bypass completo: Incorpore ActiveX com propriedades maliciosas (pesquise exploits de OLE como CVE-2017-11882 para padrões).
   • Aplique o kill bit no registro (conforme o advisory) → teste novamente para confirmar o bloqueio.

Se o PoC em Python para CVE-2026-21509 funcionar com sucesso (em um sistema com as bibliotecas necessárias instaladas), aqui está exatamente o que você veria passo a passo:

1. Executando o Script (Saída do Terminal)

Saída de Sucesso Esperada:

• Sinais Principais:
  • Sem erros (ex.: sem ImportError, OSError ou problemas de XML).
  • Dois arquivos criados: test.docx (o documento malicioso) e embedded_ole.bin (o fluxo OLE para referência).
  • O script é executado em segundos (geração rápida de arquivos).

Se falhar (ex.: faltando python-docx ou olefile):

Correção: pip install python-docx olefile

2. Abrindo o DOCX Gerado no Office Vulnerável

• No Office Vulnerável (antes do patch de 26 de janeiro de 2026, ex.: Office 2016/2019 sem atualização):

  • O arquivo abre normalmente (sem prompt de Modo de Exibição Protegido se o bypass funcionar, ou sem aviso de OLE "Bloqueado").
  • O objeto OLE incorporado carrega silenciosamente ou mostra um ícone/conteúdo de espaço reservado.
  • Indicadores de Sucesso (via ferramentas de monitoramento):
    • ProcMon (Process Monitor): Procure por leituras de registro relacionadas a OLE (ex.: em HKCR\CLSID\{EAB22AC3-...}) sem eventos de bloqueio.
    • Sem diálogo de "Aviso de Segurança" para controles OLE.
    • Se o payload for estendido (ex.: com VBA ou shellcode em pesquisa real): Possível execução de código (ex.: calc.exe abre, arquivo gravado, etc.).
  • Visual: O documento mostra seu texto ("Test document...") + um ícone/caixa de objeto incorporado (pode aparecer em branco ou como "Pacote").

• No Office Atualizado (ou com kill bit aplicado no registro):

  • O objeto OLE é bloqueado: "Este objeto não pode ser criado" ou aviso semelhante.
  • O documento abre, mas o conteúdo incorporado falha ao carregar (caixa cinza ou espaço reservado de erro).

Tabela Resumo Rápida

Dicas Profissionais:

• Teste em um snapshot de VM Windows (desative o Defender temporariamente para pesquisa).
• Aprimore: Use oletools para inspecionar o DOCX (olevba test.docx ou rtfobj) e adicione dados OLE maliciosos reais.
• Se o OLE não carregar: o CLSID pode ser inválido — substitua por um inseguro conhecido do OleViewDotNet.exe (ferramenta gratuita).

Atualize o Office imediatamente se estiver afetado! Se você executar e obtiver saídas/erros específicos, cole-os aqui para depuração. 😈

🛠️ Correção e Mitigação

✅ Status do Patch

• A Microsoft lançou atualizações de emergência fora de banda em janeiro de 2026.
• Usuários do Microsoft 365 normalmente só precisam reiniciar o Office.
• Usuários do Office 2016/2019 devem instalar a atualização manualmente.

🔒 Proteção Temporária (se não atualizado)

• Mitigações baseadas em registro estão disponíveis para bloquear comportamento malicioso até a aplicação do patch.

⚠️ Aviso Legal:

Esta informação é fornecida apenas para fins de conscientização e segurança defensiva. Nenhuma responsabilidade é assumida por uso indevido ou imprecisões.