IT之家 2 月 16 日消息，微軟近日發(fā)布安全公告，報(bào)告旗下的 Outlook 服務(wù)存在嚴(yán)重的遠(yuǎn)程代碼執(zhí)行漏洞，無(wú)需用戶(hù)交互的情況下，只需要在 Outlook 超鏈接中添加“！”感嘆號(hào)，就能讀取相關(guān)機(jī)密文檔。
該漏洞追蹤編號(hào)為 CVE-2024-21413，在 CVSS 風(fēng)險(xiǎn)評(píng)估中基礎(chǔ)得分（根據(jù)漏洞的固有特征反映漏洞的嚴(yán)重程度）為 9.8（滿分 10 分），時(shí)間得分（評(píng)價(jià)漏洞被利用的時(shí)間窗的風(fēng)險(xiǎn)大?。?8.5 分（滿分 10 分）。
該漏洞由 Check Point Research 的安全專(zhuān)家 Haifei Li 發(fā)現(xiàn)并報(bào)告，根據(jù)微軟官方描述，攻擊者可以在文檔擴(kuò)展名及其嵌入鏈接后插入感嘆號(hào)，就能繞過(guò)安全程序獲得文檔的高級(jí)權(quán)限，包括編輯潛在的惡意 "保護(hù)視圖" 文檔。
如果文檔中嵌入了帶有 http 或 https 的超鏈接，Outlook 就會(huì)啟動(dòng)默認(rèn)瀏覽器來(lái)顯示它。
安全研究人員發(fā)現(xiàn)一個(gè)感嘆號(hào)就足以繞過(guò)保護(hù)機(jī)制。
微軟目前已經(jīng)發(fā)布了 Office 補(bǔ)丁，修復(fù)了 CVE-2024-21413 漏洞，并推薦用戶(hù)盡快安裝。
用于 Office 2016（32 位版本）：
| 產(chǎn)品 | 文章 | 下載 | 內(nèi)部版本號(hào) |
|---|---|---|---|
| Microsoft Office 2016（32 位版本） | 5002537 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（32 位版本） | 5002467 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（32 位版本） | 5002522 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（32 位版本） | 5002469 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（32 位版本） | 5002519 | 安全更新 | 16.0.5435.1001 |
For Office 2016（64 位版本）：
| 產(chǎn)品 | 文章 | 下載 | 內(nèi)部版本號(hào) |
|---|---|---|---|
| Microsoft Office 2016（64 位版本） | 5002537 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（64 位版本） | 5002467 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（64 位版本） | 5002522 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（64 位版本） | 5002469 | 安全更新 | 16.0.5435.1001 |
| Microsoft Office 2016（64 位版本） | 5002519 | 安全更新 | 16.0.5435.1001 |