微軟公佈Office套件中尚未修復的安全漏洞，修補程式將在下週二發布

通常微軟會在漏洞修復後才公佈漏洞和相關說明，這次這個漏洞情況略微有些奇怪，目前尚未得到修復微軟就公佈了漏洞情況。 CVE-2024-38200漏洞CVSS評分為7.5/10分，主要影響Microsoft Office系列軟體，攻擊者可以誘騙使用者造訪特製網站觸發漏洞，利用漏洞攻擊者可以竊取敏感資訊。

受影響的版本包括：

• Microsoft Office 2016 32/64位元版
• Microsoft Office 2021 32/64位元版
• Microsoft Office 2019 32/64位元版
• Microsoft 365 企業應用程式32/64位元版
  

微軟在漏洞說明中表示：
在採用網路的攻擊場景中，攻擊者可以在網站上託管包含利用該漏洞的特製文件，但攻擊者無法強迫用戶訪問該網站，相反攻擊者必須說服用戶點擊連結，通常是透過電子郵件或即時通訊工具進行誘導，然後引誘使用者開啟特製文件。

儘管現在漏洞修補程式尚未發布，但微軟已經透過伺服器部署了一種替代修復程式，該修復程式於7月30日發布，目前應該已經完成推送，因此大多數用戶不需要擔心漏洞。

而正式的修復修補程式將在2024年8月13日發布，到時候修復程式會跟隨Windows更新一起推送安裝，完成更新後即可封鎖該漏洞阻止駭客繼續利用。

微軟也將漏洞標記為不太可能利用，同時提供三種臨時緩解方案：

• 設定網路安全：限制NTLM到遠端伺服器的傳出NTLM流量，這種方式主要可以在伺服器上阻止存取傳出流量
• 將使用者新增至受保護的使用者群組，該方式可防止使用NTLM作為驗證機制進行攻擊
• 使用外部防火牆、本機防火牆和VPN加密隧道阻止從網路出站的TCP 445 / SMB流量，這可以防止將NTLM驗證訊息傳送遠端檔案共用
  

消息來源