Check Point Research (CPR) 近日发现了四个影响 Microsoft Office 套件产品(包括 Excel 和 Office Online)的安全漏洞。攻击者可利用这些漏洞,通过 Word (.DOCX)、Excel (.EXE) 和 Outlook (.EML) 等恶意 Office 文档在攻击目标上执行代码。这些漏洞源于在 Excel 95 文件格式中发现的遗留代码解析错误,研究人员据此推断这些安全漏洞已存在多年。Check Point安全团队研究表明:恶意代码可能是通过 Word 文档 (.DOCX)、Outlook 电子邮件 (.EML) 及大多数办公文件格式进行传送的;这些漏洞是由于遗留代码的解析错误造成;CPR 负责任地向 Microsoft 披露了这些安全漏洞,Microsoft 随后发布了修复程序:CVE-2021-31174、CVE-2021-31178、CVE-2021-31179、CVE-2021-31939。
发现
CPR 通过“模糊测试”MSGraph 发现了这些漏洞,MSGraph 组件可嵌入到 Microsoft Office 产品中以帮助显示图形和图表。模糊测试是一种自动化软件测试技术,它试图通过将无效和意想不到的数据输入随机输入到计算机程序中来寻找可破解的软件缺陷,从而发现编码错误和安全漏洞。借助该技术,CPR 发现了 MSGraph 中易受攻击的功能。经过类似的代码检查证实,这些易受攻击的功能通用于多种不同的 Microsoft Office 产品,例如 Excel、Office Online Server 和 Excel for OSX。
攻击方法
发现的漏洞可嵌入到大多数 Office 文档中,因此多种攻击向量可供使用。其中,最简单的一种是:
受害者下载恶意 Excel 文件(XLS 格式)。攻击者可通过下载链接或电子邮件传送该文件,但无法强迫受害者进行下载
受害者打开恶意 Excel 文件
漏洞被触发
由于整个 Office 套件都能够嵌入 Excel 对象,可供利用的攻击向量大大增加,这使得攻击者几乎能够对所有 Office 软件(包括 Word、Outlook 等)发起此类攻击。
Microsoft已发布补丁
CPR 负责任地向 Microsoft 披露了其调查结果。Microsoft 随后修补了安全漏洞并发布了 CVE-2021-31174、CVE-2021-31178、CVE-2021-31179。第四个补丁已于 2021 年 6 月 8 日星期二在 Microsoft 补丁下载中心发布,编号为 (CVE-2021-31939)。
Check Point Software 网络研究主管 Yaniv Balmas 表示:“新发现的安全漏洞可影响几乎整个 Microsoft Office 生态系统。攻击者几乎能够在所有 Office 软件上执行此类攻击,包括 Word、Outlook 和其他软件。我们发现这些安全漏洞是由于遗留代码的解析错误造成的。我们的主要调查结果之一就是遗留代码仍然是安全链中的一个薄弱环节,尤其是在 Microsoft Office 等复杂软件中。尽管我们只在攻击面上调查发现了四个漏洞,但没人知道还有多少这样的潜藏漏洞没有被发现。我强烈建议 Windows 用户立即更新软件,因为攻击者可通过多种攻击向量触发我们发现的漏洞。”
好文章,需要你的鼓励
这项由浙江大学与阿里巴巴通义实验室联合开展的研究,通过创新的半在线强化学习方法,显著提升了AI界面助手在多步骤任务中的表现。UI-S1-7B模型在多个基准测试中创造了7B参数规模的新纪录,为GUI自动化代理的发展开辟了新的技术路径。
阿里巴巴联合浙江大学开发的OmniThink框架让AI学会像人类一样慢思考写作。通过信息树和概念池的双重架构,系统能够动态检索信息、持续反思,突破了传统AI写作内容浅薄重复的局限。实验显示该方法在文章质量各维度均显著超越现有最强基线,知识密度提升明显,为长文本生成研究开辟了新方向。
新加坡国立大学研究人员开发出名为AiSee的可穿戴辅助设备,利用Meta的Llama模型帮助视障人士"看见"周围世界。该设备采用耳机形态,配备摄像头作为AI伴侣处理视觉信息。通过集成大语言模型,设备从简单物体识别升级为对话助手,用户可进行追问。设备运行代理AI框架,使用量化技术将Llama模型压缩至10-30亿参数在安卓设备上高效运行,支持离线处理敏感文档,保护用户隐私。
腾讯混元3D 2.0是一个革命性的3D生成系统,能够从单张图片生成高质量的带纹理3D模型。该系统包含形状生成模块Hunyuan3D-DiT和纹理合成模块Hunyuan3D-Paint,采用创新的重要性采样和多视角一致性技术,在多项评估指标上超越现有技术,并提供用户友好的制作平台。作为开源项目,它将大大降低3D内容创作门槛,推动3D技术的普及应用。