WPS Office - CVE-2025-2516
Date de publication :
Un chiffrement insuffisant dans WPS Office sous Windows permet à un attaquant, en menant une attaque de type Adversary-in-the-middle, de transmettre des données malveillantes lors des mises à jour.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Non
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
La vulnérabilité exploitée est du type
CWE-326: Inadequate Encryption Strength
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
WPS Office (Kingsoft)
Solutions ou recommandations
L’éditeur n’ayant pas spécifié si un correctif est disponible, il est recommandé :
• De forcer le recours au protocole HTTPS pour les mises à jour, avec une validation des certificats TLS.
• De n’utiliser que des versions des logiciels dont l’intégrité et l’authenticité sont vérifiées par signature numérique.
Des informations complémentaires sont disponibles dans le bulletin d’ESET.