Check Point Research (CPR) 近日发现了四个影响 Microsoft Office 套件产品(包括 Excel 和 Office Online)的安全漏洞。攻击者可利用这些漏洞,通过 Word (.DOCX)、Excel (.EXE) 和 Outlook (.EML) 等恶意 Office 文档在攻击目标上执行代码。这些漏洞源于在 Excel 95 文件格式中发现的遗留代码解析错误,研究人员据此推断这些安全漏洞已存在多年。Check Point安全团队研究表明:恶意代码可能是通过 Word 文档 (.DOCX)、Outlook 电子邮件 (.EML) 及大多数办公文件格式进行传送的;这些漏洞是由于遗留代码的解析错误造成;CPR 负责任地向 Microsoft 披露了这些安全漏洞,Microsoft 随后发布了修复程序:CVE-2021-31174、CVE-2021-31178、CVE-2021-31179、CVE-2021-31939。
发现
CPR 通过“模糊测试”MSGraph 发现了这些漏洞,MSGraph 组件可嵌入到 Microsoft Office 产品中以帮助显示图形和图表。模糊测试是一种自动化软件测试技术,它试图通过将无效和意想不到的数据输入随机输入到计算机程序中来寻找可破解的软件缺陷,从而发现编码错误和安全漏洞。借助该技术,CPR 发现了 MSGraph 中易受攻击的功能。经过类似的代码检查证实,这些易受攻击的功能通用于多种不同的 Microsoft Office 产品,例如 Excel、Office Online Server 和 Excel for OSX。
攻击方法
发现的漏洞可嵌入到大多数 Office 文档中,因此多种攻击向量可供使用。其中,最简单的一种是:
受害者下载恶意 Excel 文件(XLS 格式)。攻击者可通过下载链接或电子邮件传送该文件,但无法强迫受害者进行下载
受害者打开恶意 Excel 文件
漏洞被触发
由于整个 Office 套件都能够嵌入 Excel 对象,可供利用的攻击向量大大增加,这使得攻击者几乎能够对所有 Office 软件(包括 Word、Outlook 等)发起此类攻击。
Microsoft已发布补丁
CPR 负责任地向 Microsoft 披露了其调查结果。Microsoft 随后修补了安全漏洞并发布了 CVE-2021-31174、CVE-2021-31178、CVE-2021-31179。第四个补丁已于 2021 年 6 月 8 日星期二在 Microsoft 补丁下载中心发布,编号为 (CVE-2021-31939)。
Check Point Software 网络研究主管 Yaniv Balmas 表示:“新发现的安全漏洞可影响几乎整个 Microsoft Office 生态系统。攻击者几乎能够在所有 Office 软件上执行此类攻击,包括 Word、Outlook 和其他软件。我们发现这些安全漏洞是由于遗留代码的解析错误造成的。我们的主要调查结果之一就是遗留代码仍然是安全链中的一个薄弱环节,尤其是在 Microsoft Office 等复杂软件中。尽管我们只在攻击面上调查发现了四个漏洞,但没人知道还有多少这样的潜藏漏洞没有被发现。我强烈建议 Windows 用户立即更新软件,因为攻击者可通过多种攻击向量触发我们发现的漏洞。”
好文章,需要你的鼓励
2025施耐德电气智算峰会上,全新EcoStruxure(TM) Energy Operation电力综合运营系统正式亮相,定位场站级智慧能源管理中枢,集技术领先性与本土适配性于一体。
这项研究首次系统评估了AI代码智能体在科学研究扩展方面的能力。研究团队设计了包含12个真实研究任务的REXBENCH基准,测试了九个先进AI智能体的表现。结果显示,即使最优秀的智能体成功率也仅为25%,远低于实用化要求,揭示了当前AI在处理复杂科学推理任务时的显著局限性。
Atlassian、Intuit和AWS三大企业巨头正在为智能代理时代做准备,重新思考软件构建方式。当前企业API为人类使用而设计,未来API将成为多模型原生接口。Intuit在QuickBooks中应用自动发票生成,使企业平均提前5天收款;AWS通过AI辅助迁移服务显著提升效率;Atlassian推出内部员工入职代理和客户代理,节省大量时间成本。专家强调需要建立强大的数据架构和信任机制。
俄罗斯莫斯科国立大学研究团队开发出MEMFOF光流估计新方法,在保持顶尖精度的同时将1080p视频分析的GPU内存消耗从8GB降至2GB,实现约4倍内存节省。该方法通过三帧策略、相关性体积优化和高分辨率训练在多个国际基准测试中取得第一名成绩,为高清视频分析技术的普及奠定基础。