更新時間：2023/07/14 12:03:03
發佈時間：2023/07/14 12:03:03
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明 [1]
Microsoft 近期發布已遭利用於攻擊行為的漏洞資訊，以下說明
1.SmartScreen 安全性功能繞過漏洞(CVE-2023-32049)，攻擊者透過惡意的 URL 讓受害者點擊後觸發，成功利用時受害者執行可疑的檔案，Windows將不會跳出相關警示訊息。
2.MSHTML 平台權限提高漏洞(CVE-2023-32046)，攻擊者透過釣魚郵件附加惡意檔案或透過網頁式攻擊將檔案植入於受駭網站等，讓受害者點擊後觸發，成功利用時可取得受害者權限。
3.錯誤報告服務權限提升漏洞(CVE-2023-36874)，攻擊者必須具備本機一般使用者存取權限，成功利用此漏洞時可取得系統管理者權限。
4.Outlook 安全性功能略過漏洞(CVE-2023-35311)，攻擊者透過惡意的 URL 讓受害者點擊後觸發，成功利用時受害者執行可疑的檔案，Outlook將不會跳出相關警示訊息。
5.Office and Windows HTML RCE漏洞(CVE-2023-36884)，攻擊者通過使用特製的Microsoft文件來利用這些漏洞，並誘使受害者開啟文件(如透過釣魚郵件附加惡意檔案讓受害者執行後觸發)，成功利用後可自遠端執行任意程式碼。
二、已揭露攻擊程式碼說明
1.官方證實此漏洞已被利用於相關攻擊活動。
2.CISA 將上述1至4項漏洞列入已遭利用清單[2]，須優先修補。
▶ 參考資訊
⌵
| 網址 | 說明 |
|---|---|
| https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32049 | 1.Microsoft |
| https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32046 | 1.Microsoft |
| https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36874 | 1.Microsoft |
| https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35311 | 1.Microsoft |
| https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884 | 1.Microsoft |
| https://www.cisa.gov/known-exploited-vulnerabilities-catalog | 2.CISA |
▶ 影響平台
⌵
影響平台-系統：
影響多數 Windows 版本，請參閱官方版本列表。
▶ 建議措施
⌵
1. 除CVE-2023-36884 外，Microsoft 已於2023年7月例行安全性更新中發布更新，建議會員依照單位內既有漏洞管理機制，評估後執行相關作業。
2. 針對 CVE-2023-36884 ，目前尚無修補程式，Microsoft 於官方公告提供緩解措施，並說明設定後可能造成部分 OFFICE 服務影響，建議會員評估後執行相關作業。
▶ 漏洞資訊
⌵
名稱：
CVE-2023-32049、CVE-2023-32046、CVE-2023-36874、CVE-2023-35311、CVE-2023-36884
描述：
使用版本：CVSS 3.1
分析分數：8.8、7.8、7.8、8.8、8.3
情資編號：
FISAC-200-202307-0001
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞