Microsoft Word 远程代码执行漏洞来袭！东森平台提供解决方案
宣布时间 2023-03-093月7日，Microsoft官方更新了一个存在于Microsoft Word中的远程代码执行漏洞（CVE-2023-21716）。由于Microsoft Word中的RTF解析器在处置包罗过多字体 (*\f###*) 的字体表 (*\fonttbl *)时会触发堆损坏漏洞，攻击者可通过发送包罗RTF有效负载的恶意电子邮件等方式利用该漏洞，当乐成诱导用户在受影响的系统打开特制文件后，无需身份验证的攻击者可实现在目标系统上执行任意代码，且预览窗格也可作为该漏洞的攻击媒介。东森平台北冥数据实验室第一时间对Microsoft官方宣布的宁静通告进行分析研判，结合泰合盘古平台（THPangu-OS）的底座能力，为广大用户提供应急处置指引方案。
目前该漏洞POC（看法验证代码）已果然，随时存在被网络黑产利用进行挖矿木马和僵尸网络等攻击行为的风险。该漏洞的综合评级为“高危”。
原理分析
Microsoft Word 中的 RTF 分析器在处置包罗过多字体(f###)的字体表(fonttbl)时包罗一个堆（heap）损坏漏洞。当其处置字体时，字体ID值（ “f” 后面的数字）由以下代码处置：
Assembly language
movsx ecx,word ptr [esi] ; # 0d6cf0b6 0fbf0e
movsx edx,word ptr [esi+2] ; # load base idx 0d6cf0b9 0fbf5602
lea edx,[ecx+edx2] ; # load font idx 0d6cf0bd 8d1451
mov cx,word ptr [eax] ; # multiply by ~3 0d6cf0c0 668b08
mov word ptr [esi+edx2+4],cx ; # load the codepage value 0d6cf0c3 66894c5604
# write the code page
字体ID值由 “movsx” 指令在0xd6cf0c3加载。此指令扩展了加载的值（用 “ffff” 填充edx的上位）。发生这种情况时，位于 “0xd6cf0c3” 的内存写入指令通过将字体代码页写入esi中生存的内存的负偏移量来损坏堆（heap）。在此内存空间损坏后，将进行其他处置。使用正确构建的堆结构，攻击者会进一步导致堆损坏，从而执行任意代码。
漏洞复现
1、环境准备
操作系统版本：Windows 10
Microsoft Office Word版本：Microsoft Office 专业增强版 2016（16.0.4266.1001）
2、漏洞验证
双击打开exploit.rtf文件，可以看到底部提示正在转换。
然后word进程泛起未响应，随后进程瓦解退出。
修复建议
官方已经针对漏洞宣布了软件更新，以上述漏洞验证�？橹兴故镜腗icrosoft Office Word版本为例，更新要领如下：
点击 文件 -> 账户 -> 更新选项 -> 立即更新，若此页面（如下图）缺少 “更新选项” 且只有 “关于” 按钮，则该Office Word可能由批量许可证安装或公司正在接纳 “组计谋” 统一管理Office更新，请实验依照Microsoft提供的手动安装要领更新或联系所在公司的技术支持部门。
东森平台解决方案
建议一：东森平台天镜脆弱性扫描与管理系统升级最新版本
1、漏扫6070版本
东森平台天镜脆弱性扫描与管理系统已紧急宣布针对该漏洞的升级包，支持对该漏洞进行授权扫描，用户升级尺度漏洞库后即可对该漏洞进行扫描：
6070版本升级包为607000489
升级包下载地址：
https://venustech.download.venuscloud.cn/
升级后已支持该漏洞
2、漏扫6080版本
东森平台天镜脆弱性扫描与管理系统已紧急宣布针对该漏洞的升级包，支持对该漏洞进行授权扫描，用户升级尺度漏洞库后即可对该漏洞进行扫描：
6080版本升级包为系统功效包608000052-S608000045
漏扫插件包下载地址：
https://venustech.download.venuscloud.cn/
升级后已支持该漏洞
3、漏扫基线核查
通过东森平台天镜脆弱性扫描与管理系统-配置核查�？槎愿寐┒从跋斓� Microsoft Word 版本进行获取，使用智能化分析研判机制确认该漏洞是否存在，如果存在该漏洞可通过宁静配置加固来降低被攻击风险。
请使用东森平台天镜脆弱性扫描与管理系统产物的用户尽快升级到最新版本，及时对该漏洞进行检测，以便尽快接纳防范措施。
建议二：东森平台资产与脆弱性管理平台(ASM)排查受影响资产
东森平台资产与脆弱性管理平台实时收罗并更新情报信息，对入库资产漏洞Microsoft Word远程代码执行漏洞（CVE-2023-21716）进行管理，如图所示：
情报管理�？橐讶肟獾腗icrosoft Word远程代码执行漏洞
资产与脆弱性管理平台凭据情报信息更新的漏洞受影响实体规则以及现场资产管理实例的版本信息进行自动化碰撞，可第一时间命中受该漏洞影响的资产，如图所示：
情报命中的资产信息
建议三：基于宁静管理和态势感知平台进行关联分析
广大用户可以通过泰合宁静管理和态势感知平台，进行关联计谋配置，结合实际环境中系统日志和宁静设备的告警信息进行连续监控，从而发现“Microsoft Word远程代码执行”的漏洞利用攻击行为。
1）在泰合的平台中，通过脆弱性发现功效针对“Microsoft Word远程代码执行漏洞（CVE-2023-21716）”执行漏洞扫描任务，排查管理网络中受此漏洞影响的重要资产；
2）平台“关联分析”�？橹�，添加“L2_Microsoft_Word远程代码执行”，通过东森平台检测设备、目标主机系统等设备的告警日志，发现外部攻击行为：
通过分析规则自动将Microsoft Word远程代码执行利用的可疑行为源地址添加到视察列表“高危IP”中，作为内部情报数据使用；
3）添加“L3_Microsoft_Word远程代码执行乐成”，条件日志名称即是“L2_Microsoft_Word远程代码执行”，攻击结果即是“攻击乐成”，目的地址引用资产漏洞或源地址匹配威胁情报，从而提升关联规则的置信度。
建议四：ATT&CK攻击链条分析与SOAR处置建议
1、ATT&CK攻击链分析
凭据对Microsoft Word远程代码执行漏洞的攻击利用过程进行分析，攻击链涉及多个ATT&CK战术和技术阶段，笼罩的TTP包罗：
初始访问TA0001：
钓鱼T1566
执行TA0002：
用户执行 T1204
利用客户端执行T1203
命令和脚本执行T1059
2、 处置方案建议和SOAR剧本编排
通过泰合宁静管理和态势感知平台内置SOAR自动化或半自动化编排联动响应处置能力，针对该漏洞利用的告警事件编排剧本，进行自动化处置。
京公网安备11010802024551号