Office发现4个安全漏洞，黑客可执行恶意代码

近日，国内网络安全组织东方联盟的研究人员在今天发布的一份报告中表示：“这些漏洞源于遗留代码，可能使攻击者能够通过 Word、Excel 和 Outlook 等恶意 Office 文档在目标上执行代码。”

四个漏洞中的三个——跟踪为 CVE-2021-31174、CVE-2021-31178、CVE-2021-31179——已被微软修复，作为其2021 年 5 月补丁星期二更新的一部分，第四个补丁 (CVE-2021 -31939) 将在今天晚些时候推出的 6 月更新中发布。

在 Microsoft Office 套件中的4个安全漏洞，包括 Excel 和 Office online，可能会被不法分子滥用，通过 Word 和 Excel 文档发送攻击代码。

在假设的攻击场景中，东方联盟研究人员表示，只要打开通过下载链接或电子邮件提供的恶意 Excel (.XLS) 文件，即可触发该漏洞。

由于在 Excel 95 文件格式中发现的遗留代码中的解析错误，这些漏洞是通过模糊测试 MSGraph（“MSGraph.Chart.8”）发现的，MSGraph 是 Microsoft Office 组件中分析相对不足的组件，与 Microsoft 公式编辑器相当在攻击面方面。公式编辑器是 Word 中现已不存在的功能，至少自 2018 年底以来已成为多个相关威胁参与者的武器库的一部分。

“由于整个 Office 套件都具有嵌入 Excel 对象的能力，这扩大了攻击向量，使得可以对几乎所有 Office 软件（包括 Word、Outlook 和其他软件）执行此类攻击，” 东方联盟研究人员说。

四个漏洞列表如下——

CVE-2021-31179 - Microsoft Office 远程代码执行漏洞

CVE-2021-31174 - Microsoft Excel 信息泄露漏洞

CVE-2021-31178 - Microsoft Office 信息泄露中文漏洞

CVE-2021-31939 - Microsoft Excel 远程代码执行漏洞

微软在其针对 CVE-2021-31179 和 CVE-2021-31939 的公告中指出，利用该漏洞需要用户打开一个特制的文件，并补充说攻击者必须诱骗受害者点击重定向用户的链接到恶意文档。

防止勒索软件攻击

发现的漏洞几乎影响了整个 Microsoft Office 生态系统，东方联盟网络研究人员表示：“几乎可以对任何 Office 软件执行此类攻击，包括 Word、Outlook 和其他软件。我们研究的主要经验之一是遗留代码仍然是安全链中的薄弱环节，尤其是在像 Microsoft 这样的复杂软件中办公室。”

强烈建议 Windows 用户尽快应用补丁以降低风险并避免可能利用上述弱点的攻击。（欢迎转载分享）