該缺陷綽號為“Microsoft Office 欺騙漏洞”，編號為 CVE-2024-38200，相對容易被利用。攻擊者不需要誘騙受害者開啟惡意檔案或執行惡意程式。微軟表示，他們只需引導受害者造訪包含「特製檔案」的網站即可。

以下產品受CVE-2024-38200 影響：

• Microsoft Office 2016（32 位元和64 位元）
• Microsoft Office 2016 (32 -位元和64 位元）
• Microsoft Office 2016 (32 -位元和64位元）
• Microsoft Office LTSC 2021（32 位元和64 位元）
  Microsoft 365 企業應用程式（32 位元和64 位元）

  MITRE表示攻擊者很有可能利用此漏洞。就其本身而言，微軟將可利用性標記為“不太可能”，這意味著在攻擊者能夠弄清楚如何建立利用所需的惡意檔案之前應該有補丁可用。 （無論如何，未能安裝所需安全更新的個人或組織將面臨受到攻擊的風險。）

  Microsoft 將 CVE-2024-38200 的發現歸功於PrivSec Consulting 的 Jim Rush 和Synack Red Team 的Metin尤努斯·坎德米爾。顯然，Rush 計劃在 DEF CON 2024（8 月 8 日至 11 日舉行）上討論此問題以及其他 Microsoft 軟體漏洞。

  使用受影響版本的 Microsoft Office 的個人應一如既往地避免開啟未知網站（尤其是透過電子郵件分享的網站）。組織可以採取更積極的措施來降低風險 - Microsoft 建議將敏感使用者新增至受保護使用者安全性群組。在防火牆和 VPN 設定中封鎖 TCP 445/SMB 出站也可以減少潛在的暴露。這兩項變更都可以在安裝微軟安全性修補程式後撤銷，暫定計劃於 8 月 13 日進行。

  Microsoft 目前正在努力修復 Windows 作業系統及其第一方應用程式中的多個缺陷。其中一個缺陷特別有趣且陰險，可以讓攻擊者「取消修補」系統並利用過時的漏洞。

  來源：Microsoft 透過BleepingComputer

  您的變更已儲存

  電子郵件已發送

  電子郵件已發送

  請驗證您的電子郵件地址。

  發送確認電子郵件

  您已達到帳戶中關注主題的上限。