Vulnerabilidade no Excel, permite que as senhas dos usuários sejam visualizadas em texto simples

Falha nas versões Excel 2007, 2010 e 2013 permite que as senhas dos usuários sejam visualizadas em texto simples.

Verificamos que ao compartilharmos um determinado arquivo do Excel na rede, o Excel armazena as preferências de impressão e senhas em modo de texto simples.

Descrição do problema

O cliente “X”, que tem o serviços de impressão segura configurada em sua máquina, cria um determinado arquivo do MS Excel e compartilha na rede com outros clientes.

Um determinado cliente “Y” abre o arquivo, compartilhado pelo cliente “X”, e faz uma impressão, ao chegar na impressora para liberar a impressão, não encontra seu arquivo e verifica que existe uma mesma impressão na chave do cliente “X”.


Análise do problemas

Ao analisarmos o problema, descobrimos que as preferências de impressão estavam sendo salvas no próprio arquivo do Excel, e com isso, as informações de impressão relacionadas aos campos: chave e senha, eram enviadas para a impressora. O problema está ocorrendo com a maioria das impressoras de rede e local. A maioria da impressão estão utilizando driver genéricos (um driver que “funciona” em mais de um modelo de impressora) e muitas vezes, desatualizados.


Incidente de Segurança da informação

Durante os testes, evidenciamos incidente de segurança da informação no modelo “Impressão Segura”. O Usuário e senha do cliente, utilizadas no serviço de “Impressão Segura”, são facilmente descobertas por qualquer um que tenha acesso ao arquivo compartilhado.

Descompactamos um determinado o arquivo (teste1.xlsx) que estávamos utilizando nos testes, descobrimos que a chave e a senha que foram configuradas na impressora no modo “Impressão Segura”, estavam armazenadas no arquivo “xl\printerSettings\printerSettings1.bin”. Esse arquivo pode ser lido facilmente por qualquer editor de texto (Bloco de Notas, WordPad...), é possível visualizar claramente a chave e a senha do cliente.

Na imagem abaixo, é possível visualizar claramente essas informações:

 

Solução

Até o momento, a Microsoft não disponibilizou uma solução para esse problema. Uma possível solução de contorno é criar uma chave DWORD com nome "QFE_Sitka", no caminho "HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Excel\Options", com o valor "1"

Vide a chave abaixo:

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Excel\Options]
"QFE_Sitka"=dword:00000001

Observação:

Se for Excel 2010 o caminho é: HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Excel\Options

Se for Excel 2013 o caminho é: HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Excel\Options

Vide outras soluções de contorno disponibilizado pela MS