Microsoft 揭露一個 Office 尚未更新的漏洞，若被成功利用，可能導致敏感資訊洩露給惡意攻擊者。

此漏洞編號為 CVE-2024-38200（CVSS 分數：7.5），影響版本如下：
Microsoft Office 2016 32 位元版和 64 位元版
Microsoft Office LTSC 2021 32 位元版和 64 位元版
Microsoft 365 Apps for Enterprise 32 位元版和 64 位元版
Microsoft Office 2019 32 位元版和 64 位元版
Microsoft 於公告中表示，攻擊者會架設一個網站（或利用一個可接受/代管用戶資料的被駭網站），藏匿專門利用此漏洞的檔案。攻擊者雖無法強迫使用者訪問該網站，可以以電子郵件或通訊軟體，說服使用者點擊連結開啟特製的檔案。

此漏洞的修補更新預計於 8 月 13 日透過 Office 每月例行更新發布，微軟也已於 7 月 30 日啟用 Feature Flighting 替代修復方案。雖然所有 Microsoft Office 和 Microsoft 365 的有效版本已受到防護，仍建議更新至最新修復版本。

Microsoft 評估此漏洞「較難被利用」，並列出三種緩解策略：
設定「NTLM 驗證」以允許、阻止或審核來自 Windows 7、Windows Server 2008 或遠端伺服器的 NTLM 流量。
將使用者加入「Protected Users 安全性群組」，以防止使用 NTLM 作為驗證機制。
使用外圍防火牆、內部防火牆和 VPN 設定來阻止網路中的 TCP 445/SMB 對外流量，防止將 NTLM 驗證訊息傳送到遠端檔案共享。
本文轉載自thehackernews。

新聞來源:https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=11185&mod=1
發布日期：2024/8/15