Check Point Research (CPR) 近日发现了四个影响 Microsoft Office 套件产品(包括 Excel 和 Office Online)的安全漏洞。攻击者可利用这些漏洞,通过 Word (.DOCX)、Excel (.EXE) 和 Outlook (.EML) 等恶意 Office 文档在攻击目标上执行代码。这些漏洞源于在 Excel 95 文件格式中发现的遗留代码解析错误,研究人员据此推断这些安全漏洞已存在多年。Check Point安全团队研究表明:恶意代码可能是通过 Word 文档 (.DOCX)、Outlook 电子邮件 (.EML) 及大多数办公文件格式进行传送的;这些漏洞是由于遗留代码的解析错误造成;CPR 负责任地向 Microsoft 披露了这些安全漏洞,Microsoft 随后发布了修复程序:CVE-2021-31174、CVE-2021-31178、CVE-2021-31179、CVE-2021-31939。
发现
CPR 通过“模糊测试”MSGraph 发现了这些漏洞,MSGraph 组件可嵌入到 Microsoft Office 产品中以帮助显示图形和图表。模糊测试是一种自动化软件测试技术,它试图通过将无效和意想不到的数据输入随机输入到计算机程序中来寻找可破解的软件缺陷,从而发现编码错误和安全漏洞。借助该技术,CPR 发现了 MSGraph 中易受攻击的功能。经过类似的代码检查证实,这些易受攻击的功能通用于多种不同的 Microsoft Office 产品,例如 Excel、Office Online Server 和 Excel for OSX。
攻击方法
发现的漏洞可嵌入到大多数 Office 文档中,因此多种攻击向量可供使用。其中,最简单的一种是:
受害者下载恶意 Excel 文件(XLS 格式)。攻击者可通过下载链接或电子邮件传送该文件,但无法强迫受害者进行下载
受害者打开恶意 Excel 文件
漏洞被触发
由于整个 Office 套件都能够嵌入 Excel 对象,可供利用的攻击向量大大增加,这使得攻击者几乎能够对所有 Office 软件(包括 Word、Outlook 等)发起此类攻击。
Microsoft已发布补丁
CPR 负责任地向 Microsoft 披露了其调查结果。Microsoft 随后修补了安全漏洞并发布了 CVE-2021-31174、CVE-2021-31178、CVE-2021-31179。第四个补丁已于 2021 年 6 月 8 日星期二在 Microsoft 补丁下载中心发布,编号为 (CVE-2021-31939)。
Check Point Software 网络研究主管 Yaniv Balmas 表示:“新发现的安全漏洞可影响几乎整个 Microsoft Office 生态系统。攻击者几乎能够在所有 Office 软件上执行此类攻击,包括 Word、Outlook 和其他软件。我们发现这些安全漏洞是由于遗留代码的解析错误造成的。我们的主要调查结果之一就是遗留代码仍然是安全链中的一个薄弱环节,尤其是在 Microsoft Office 等复杂软件中。尽管我们只在攻击面上调查发现了四个漏洞,但没人知道还有多少这样的潜藏漏洞没有被发现。我强烈建议 Windows 用户立即更新软件,因为攻击者可通过多种攻击向量触发我们发现的漏洞。”
好文章,需要你的鼓励
数据分析平台公司Databricks完成10亿美元K轮融资,公司估值超过1000亿美元,累计融资总额超过200亿美元。公司第二季度收入运营率达到40亿美元,同比增长50%,AI产品收入运营率超过10亿美元。超过650家客户年消费超过100万美元,净收入留存率超过140%。资金将用于扩展Agent Bricks和Lakebase业务及全球扩张。
Meta与特拉维夫大学联合研发的VideoJAM技术,通过让AI同时学习外观和运动信息,显著解决了当前视频生成模型中动作不连贯、违反物理定律的核心问题。该技术仅需添加两个线性层就能大幅提升运动质量,在多项测试中超越包括Sora在内的商业模型,为AI视频生成的实用化应用奠定了重要基础。
医疗信息管理平台Predoc宣布获得3000万美元新融资,用于扩大运营规模并在肿瘤科、研究网络和虚拟医疗提供商中推广应用。该公司成立于2022年,利用人工智能技术提供端到端平台服务,自动化病历检索并整合为可操作的临床洞察。平台可实现病历检索速度提升75%,临床审查时间减少70%,旨在增强而非替代临床判断。
上海AI实验室发布OmniAlign-V研究,首次系统性解决多模态大语言模型人性化对话问题。该研究创建了包含20万高质量样本的训练数据集和MM-AlignBench评测基准,通过创新的数据生成和质量管控方法,让AI在保持技术能力的同时显著提升人性化交互水平,为AI价值观对齐提供了可行技术路径。