微软警告：Office零日漏洞可能导致数据泄露

摘要

近日，微软披露Office 中一个未修补的零日漏洞，如果成功利用该漏洞，可能会导致未经授权向恶意行为者披露敏感信息。

该漏洞被跟踪为 CVE-2024-38200（CVSS 评分：7.5），影响以下 Office 版本：

• Microsoft Office 2016（32位版本和64位版本）

• Microsoft Office LTSC 2021（32位版本和 64位版本）

• 适用于32位和64位系统的Microsoft 365 企业应用

• 适用于32位和64位系统的Microsoft Office 2019

发现该漏洞的是研究人员吉姆·拉什（Jim Rush）和梅廷·尤努斯·坎德米尔（Metin Yunus Kandemir）。

微软在一份公告中表示：“在基于Web的攻击场景中，攻击者可以托管一个网站（或利用一个接受或托管用户提供的内容的受感染网站），网站包含一个旨在利用该漏洞的特制文件。

“但是，攻击者无法强迫用户访问该网站。相反，攻击者必须诱使用户单击链接，通常是通过电子邮件或即时通讯消息中的诱饵，然后诱使用户打开特别构建的文件。

据悉，CVE-2024-38200的正式补丁预计于8月13日正式发布。

不过微软公司表示，他们已经确定了一种替代修复的方法，并已从2024年7月30日起通过 "功能飞行"（Feature Flighting）启用了该修复方法。

该公司还指出，虽然客户已经在所有支持版本的微软Office和微软365上得到了保护，但为了最大程度的规避安全风险，用户应在最终版本的补丁发布后立即更新。

公告进一步指出，可以通过阻止到远程服务器的出站 NTLM 流量来缓解此缺陷。微软表示，您可以使用以下三种方法阻止出站NTLM流量：

• 配置网络安全：限制 NTLM：向远程服务器发出 NTLM 流量策略设置，以允许、阻止或审计从运行 Windows 7、Windows Server 2008 或更高版本的计算机向任何运行 Windows 操作系统的远程服务器发出的 NTLM 流量。

• 将用户添加到“受保护用户”安全组。该组织限制使用NTLM 用作身份验证机制

• 阻止所有TCP端口445的数据流量

精彩推荐重大智能合约漏洞，Nexera DeFi协议被黑客盗取180万美元

2024.08.09

报告 | 2023年暗网价格指数（中文版）

2024.08.13

思科预警，旧版IP电话存在严重RCE零日漏洞

2024.08.12

注：本文由E安全编译报道，转载请联系授权并注明来源。