WPS Office - CVE-2025-2516

Date de publication :

Un chiffrement insuffisant dans WPS Office sous Windows permet à un attaquant, en menant une attaque de type Adversary-in-the-middle, de transmettre des données malveillantes lors des mises à jour.

Informations

La faille est activement exploitée : Oui

Un correctif existe : Non

Une mesure de contournement existe : Non

Risques

Contournement de la politique de sécurité

Exploitation

La vulnérabilité exploitée est du type
CWE-326: Inadequate Encryption Strength

Détails sur l'exploitation
•    Vecteur d'attaque : Réseau
•    Complexité de l'attaque : Élevée
•    Privilèges nécessaires pour réaliser l'attaque : Aucun
•    Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•    L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

WPS Office (Kingsoft)

Solutions ou recommandations

L’éditeur n’ayant pas spécifié si un correctif est disponible, il est recommandé :
•    De forcer le recours au protocole HTTPS pour les mises à jour, avec une validation des certificats TLS.
•    De n’utiliser que des versions des logiciels dont l’intégrité et l’authenticité sont vérifiées par signature numérique.

Des informations complémentaires sont disponibles dans le bulletin d’ESET.