Microsoft Office Web Apps 的安全性更新 (2020 年 7 月)

high Nessus Plugin ID 138469

語系：

概要

遠端主機上的 Microsoft Office Web App 安裝受到多個弱點影響。

說明

遠端主機上安裝的 Microsoft Office Web App 缺少安全性更新。因此，此類應用程式受到多個弱點影響：

- Microsoft Office 不當洩漏其記憶體的內容時，存在資訊洩漏弱點。攻擊者可利用此弱點，使用這些資訊危害使用者電腦或資料。(CVE-2020-1445)

- 當 Microsoft Word 軟體無法正確處理記憶體中的物件時，存在遠端程式碼執行弱點。成功利用該弱點的攻擊者可在目前使用者的安全性內容中使用特別建構的檔案執行動作。例如，該檔案隨後可以代表擁有與目前使用者相同權限的已登入使用者採取行動。(CVE-2020-1446、CVE-2020-1447、CVE-2020-1448)

- Office Web Apps 伺服器未正確清理特別建構的要求時，存在偽造弱點。經驗證的攻擊者可向受影響的 Office Web Apps 伺服器傳送特別建構的要求，進而利用此弱點。成功利用此弱點的攻擊者接著可在受影響的系統上執行跨網站指令碼攻擊，並在目前使用者的安全內容中執行指令碼。若要利用此弱點，使用者必須點選會將使用者帶往目標 Office Web App 網站的特別建構 URL。(CVE-2020-1442)

- Microsoft Office 軟體由於未初始化變數而讀取超出邊界的記憶體時存在資訊洩漏弱點，可洩漏記憶體的內容。成功利用此弱點的攻擊者可檢視越界記憶體。弱點的惡意利用需要使用者以受影響的 Microsoft Office 軟體版本開啟特製的檔案。安全性更新透過正確初始化受影響的變數修復該弱點。(CVE-2020-1342)