微軟 Office 多個漏洞

1.

當 SharePoint 無法適當清理使用者提供的 Web 要求時，即存在可能會導致發生偽造情形的跨網站指令碼 (XSS) 弱點。成功利用此弱點的攻擊者，就可以持續執行跨網站指令碼攻擊，並使用貌似真實的惡意內容執行指令碼 (以登入的使用者的資訊安全內容)。這可讓攻擊者竊取敏感的資訊，包括驗證 Cookie 和最近提交的資料。

若要利用這項弱點，攻擊者必須具有將蓄意製作的內容提交至目標網站的能力。由於存在此弱點，因此在特定情況下，蓄意製作的指令 碼並不會被正確清理，進而導致攻擊者提供的指令碼在檢視惡意內容的使用者的資訊安全內容中執行。若為跨網站指令碼攻擊，使用者必須造訪受影響的網站，攻擊 者才能利用此弱點執行任何惡意動作。例如，當攻擊者將蓄意製作的 Web 要求成功提交至目標網站後，該網站上含有蓄意製作之內容的任何網頁，都會成為跨網站指令碼攻擊的潛在媒介。當使用者造訪含有蓄意製作之內容的網頁時，該指 令碼便會以該使用者的資訊安全內容執行。

此安全性更新會修改 SharePoint 驗證 Web 要求的方式，藉此來解決這項弱點。

Microsoft 是經由協同合作的來源接獲有關這些弱點的訊息。本資訊安全公告發行時，Microsoft 尚未接到任何有關這些弱點已公開用來攻擊客戶的消息。

2.

Microsoft Office 中存在遠端執行程式碼弱點，若使用者開啟含有格式錯誤之圖形影像的檔案，或將格式錯誤的圖形影像插入 Office 檔案時，這個弱點就有可能遭到利用。這類檔案也可能包含在電子郵件附件中。攻擊者可能會蓄意製作 EPS 檔案來允許遠端執行程式碼，以利用此弱點。成功利用此弱點的攻擊者可以取得受影響系統的控制權。

此弱點無法透過網頁式攻擊的方式自動遭到利用。攻擊者可以針對這個弱點，來設計並蓄意架設含有 Office 檔案的網站，然後引誘使用者檢視該網站。攻擊者也可能利用受侵害的網站，以及接受或存放使用者提供之內容或廣告的網站 (透過新增蓄意製作以利用此弱點的內容)。但是，攻擊者無法強迫使用者檢視受攻擊者控制的內容，而是引誘使用者自行前往。一般的做法是設法讓使用者點選 Instant Messenger 或電子郵件訊息中通往攻擊者網站的連結，或設法讓他們開啟經由電子郵件傳送的附件。

若電子郵件讀取程式的預設設定為 Microsoft Word，攻擊者可以透過傳送蓄意製作含有 EPS 二進位影像的檔案，以利用 Outlook 進行電子郵件式的攻擊。在這種情形下，即使使用者僅進行非常少量的動作 (如透過 Outlook 中的預覽窗格，檢視蓄意製作的電子郵件)，攻擊者也能藉此進行攻擊。

安裝 Microsoft Office 的工作站和終端機伺服器的風險最高。若系統管理員允許使用者登入伺服器並執行程式，則伺服器可能遭受更大的風險。然而，最佳實務強烈建議您制止這種行為。

Microsoft 是經由協同合作的來源接獲有關此弱點的訊息。Microsoft 發佈此資訊安全公告時，就已接獲少數使用此弱點進行目標式攻擊的報告。