Microsoft 揭露一個 Office 尚未更新的漏洞，若被成功利用，可能導致敏感資訊洩露給惡意攻擊者。
此漏洞編號為 CVE-2024-38200（CVSS 分數：7.5），影響版本如下：
- Microsoft Office 2016 32 位元版和 64 位元版
- Microsoft Office LTSC 2021 32 位元版和 64 位元版
- Microsoft 365 Apps for Enterprise 32 位元版和 64 位元版
- Microsoft Office 2019 32 位元版和 64 位元版
Microsoft 於公告中表示，攻擊者會架設一個網站（或利用一個可接受/代管用戶資料的被駭網站），藏匿專門利用此漏洞的檔案。攻擊者雖無法強迫使用者訪問該網站，可以以電子郵件或通訊軟體，說服使用者點擊連結開啟特製的檔案。
此漏洞的修補更新預計於 8 月 13 日透過 Office 每月例行更新發布，微軟也已於 7 月 30 日啟用 Feature Flighting 替代修復方案。雖然所有 Microsoft Office 和 Microsoft 365 的有效版本已受到防護，仍建議更新至最新修復版本。
Microsoft 評估此漏洞「較難被利用」，並列出三種緩解策略：
- 設定「NTLM 驗證」以允許、阻止或審核來自 Windows 7、Windows Server 2008 或遠端伺服器的 NTLM 流量。
- 將使用者加入「Protected Users 安全性群組」，以防止使用 NTLM 作為驗證機制。
- 使用外圍防火牆、內部防火牆和 VPN 設定來阻止網路中的 TCP 445/SMB 對外流量，防止將 NTLM 驗證訊息傳送到遠端檔案共享。
本文轉載自thehackernews。