加個感嘆號就能讀取、寫入和刪除文檔，微軟Outlook被曝嚴重漏洞
IT之家 2 月 16 日消息，微軟近日發(fā)布安全公告，報告旗下的 Outlook 服務(wù)存在嚴重的遠程代碼執(zhí)行漏洞，無需用戶交互的情況下，只需要在 Outlook 超鏈接中添加“！”感嘆號，就能讀取相關(guān)機密文檔。
該漏洞追蹤編號為 CVE-2024-21413，在 CVSS 風(fēng)險評估中基礎(chǔ)得分（根據(jù)漏洞的固有特征反映漏洞的嚴重程度）為 9.8（滿分 10 分），時間得分（評價漏洞被利用的時間窗的風(fēng)險大小）為 8.5 分（滿分 10 分）。
該漏洞由 Check Point Research 的安全專家 Haifei Li 發(fā)現(xiàn)并報告，根據(jù)微軟官方描述，攻擊者可以在文檔擴展名及其嵌入鏈接后插入感嘆號，就能繞過安全程序獲得文檔的高級權(quán)限，包括編輯潛在的惡意 "保護視圖" 文檔。
如果文檔中嵌入了帶有 http 或 https 的超鏈接，Outlook 就會啟動默認瀏覽器來顯示它。
安全研究人員發(fā)現(xiàn)一個感嘆號就足以繞過保護機制。
微軟目前已經(jīng)發(fā)布了 Office 補丁，修復(fù)了 CVE-2024-21413 漏洞，并推薦用戶盡快安裝。
用于 Office 2016（32 位版本）：
| 產(chǎn)品 | 文章 | 下載 | 內(nèi)部版本號 |
|---|---|---|---|
| Microsoft Office 2016（32 位版本） | 5002537 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（32 位版本） | 5002467 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（32 位版本） | 5002522 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（32 位版本） | 5002469 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（32 位版本） | 5002519 | 安全更新 | 16.0.5435.1001 |
For Office 2016（64 位版本）：
| 產(chǎn)品 | 文章 | 下載 | 內(nèi)部版本號 |
|---|---|---|---|
| Microsoft Office 2016（64 位版本） | 5002537 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（64 位版本） | 5002467 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（64 位版本） | 5002522 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（64 位版本） | 5002469 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（64 位版本） | 5002519 | 安全更新 | 16.0.5435.1001 |
最新推薦
閱讀排行榜
欄目索引
相關(guān)內(nèi)容