Microsoft ne détaille guère la nature de la vulnérabilité et se contente d’expliquer qu’elle permet de corrompre la mémoire du système afin d’y exécuter le code de son choix, avec les droits de l’utilisateur qui a lancé Word.

La faille ne toucherait que Word 2002 SP3, à l’exclusion des autres versions. Mais ce ne serait cependant pas la première fois que la portée d’une telle vulnérabilité se révèle, après quelque fuzzing bien senti, plus large qu’envisagé initialement.

Aucun correctif n’est encore disponible alors que, toujours selon Microsoft, cette vulnérabilité serait actuellement exploitée dans le cadre d’attaques ciblées contre des entreprises.

Lors de telles attaques, les attaquants tentent de faire parvenir à une victime au sein de l’entreprise un document formulé de manière à lui donner une bonne raison de l’ouvrir (proposition commeciale, expéditeur connu, etc…). A l’ouverture du document la vulnérabilité est exploitée pour déposer un logiciel espion sur le poste de travail, et ainsi piller son disque dur ou surveiller l’activité du l’utilisateur (interception des emails, des mots de passe, etc…).