Microsoft Word 远程代码执行缝隙来袭！28圈提供解决规划
颁布功夫 2023-03-093月7日 ，Microsoft官方更新了一个存在于Microsoft Word中的远程代码执行缝隙（CVE-2023-21716） 。由于Microsoft Word中的RTF解析器在处置蕴含过多字体 (*\f###*) 的字体表 (*\fonttbl *)时会触发堆败坏缝隙 ，攻击者可通过发送蕴含RTF有效负载的恶意电子邮件等方式利用该缝隙 ，当成功诱导用户在受影响的系统打开特造文件后 ，无需身份验证的攻击者可实此刻指标系统上执行肆意代码 ，且预览窗格也可作为该缝隙的攻击媒介 。28圈北冥数据尝试住宅一功夫对Microsoft官方颁布的安全布告进行分析研判 ，结合泰合盘古平台（THPangu-OS）的底座能力 ，为宽大用户提供给急措置指引规划 。
目前该缝隙POC（概想验证代码）已公开 ，随时存在被网络黑产利用进行挖矿木马和僵尸网络等攻击行为的风险 。该缝隙的综合评级为“高危” 。
道理分析
Microsoft Word 中的 RTF 分析器在处置蕴含过多字体(f###)的字体表(fonttbl)时蕴含一个堆（heap）败坏缝隙 。当其处置字体时 ，字体ID值（ “f” 后面的数字）由以下代码处置：
Assembly language
movsx ecx,word ptr [esi] ; # 0d6cf0b6 0fbf0e
movsx edx,word ptr [esi+2] ; # load base idx 0d6cf0b9 0fbf5602
lea edx,[ecx+edx2] ; # load font idx 0d6cf0bd 8d1451
mov cx,word ptr [eax] ; # multiply by ~3 0d6cf0c0 668b08
mov word ptr [esi+edx2+4],cx ; # load the codepage value 0d6cf0c3 66894c5604
# write the code page
字体ID值由 “movsx” 指令在0xd6cf0c3加载 。此指令扩大了加载的值（用 “ffff” 填充edx的上位） 。产生这种情况时 ，位于 “0xd6cf0c3” 的内存写入指令通过将字体代码页写入esi中保留的内存的负偏移量来败坏堆（heap） 。在此内存空间败坏后 ，将进行其他处置 。使用正确构建的堆布局 ，攻击者会进一步导致堆败坏 ，从而执行肆意代码 。
缝隙复现
1、环境筹备
操作系统版本：Windows 10
Microsoft Office Word版本：Microsoft Office 专业加强版 2016（16.0.4266.1001）
2、缝隙验证
双击打开exploit.rtf文件 ，能够看到底部提醒在转换 。
而后word过程出现未响应 ，随后过程崩溃退出 。
建复建议
官方已经针对缝隙颁布了软件更新 ，以上述缝隙验证�？橹兴故镜腗icrosoft Office Word版本为例 ，更新步骤如下：
点击 文件 -> 账户 -> 更新选项 -> 当即更新 ，若此页面（如下图）短缺 “更新选项” 且只有 “关于” 按钮 ，则该Office Word可能由批量许可证装置或公司在选取 “组战术” 统一治理Office更新 ，请尝试遵循Microsoft提供的手动装置步骤更新或联系地点公司的技术支持部门 。
28圈解决规划
建议一：28圈天镜脆弱性扫描与治理系统升级最新版本
1、漏扫6070版本
28圈天镜脆弱性扫描与治理系统已垂危颁布针对该缝隙的升级包 ，支持对该缝隙进行授权扫描 ，用户升级尺度缝隙库后即可对该缝隙进行扫描：
6070版本升级包为607000489
升级包下载地址：
https://venustech.download.venuscloud.cn/
升级后已支持该缝隙
2、漏扫6080版本
28圈天镜脆弱性扫描与治理系统已垂危颁布针对该缝隙的升级包 ，支持对该缝隙进行授权扫描 ，用户升级尺度缝隙库后即可对该缝隙进行扫描：
6080版本升级包为系统职能包608000052-S608000045
漏扫插件包下载地址：
https://venustech.download.venuscloud.cn/
升级后已支持该缝隙
3、漏扫基线核查
通过28圈天镜脆弱性扫描与治理系统-配置核查�？槎愿梅煜队跋斓� Microsoft Word 版本进行获取 ，使用智能化分析研判机造确认该缝隙是否存在 ，若是存在该缝隙可通过安全配置加固来降低被攻击风险 。
请使用28圈天镜脆弱性扫描与治理系统产品的用户尽快升级到最新版本 ，实时对该缝隙进行检测 ，以便尽快采取防备措施 。
建议二：28圈资产与脆弱性治理平台(ASM)排查受影响资产
28圈资产与脆弱性治理平台实时采集并更新谍报信息 ，对入库资产缝隙Microsoft Word远程代码执行缝隙（CVE-2023-21716）进行治理 ，如图所示：
谍报治理�？橐讶肟獾腗icrosoft Word远程代码执行缝隙
资产与脆弱性治理平台凭据谍报信息更新的缝隙受影响实体规定以及现场资产治理事俘的版本信息进行自动化碰撞 ，可第一功夫射中受该缝隙影响的资产 ，如图所示：
谍报射中的资产信息
建议三：基于安全治理和态势感知平台进行关联分析
宽大用户能够通过泰合安全治理和态势感知平台 ，进行关联战术配置 ，结合现实环境中系统日志和安全设备的告警信息进行持续监控 ，从而发现“Microsoft Word远程代码执杏妆的缝隙利用攻击行为 。
1）在泰合的平台中 ，通过脆弱性发现职能针对“Microsoft Word远程代码执行缝隙（CVE-2023-21716）”执行缝隙扫描工作 ，排查治理网络中受此缝隙影响的沉要资产；
2）平台“关联分析”�？橹� ，增长“L2_Microsoft_Word远程代码执杏妆 ，通过28圈检测设备、指标主机系统等设备的告警日志 ，发现表部攻击行为：
通过度析规定自动将Microsoft Word远程代码执行利用的可疑行为源地址增长到观察列表“高危IP”中 ，作为内部谍报数据使用；
3）增长“L3_Microsoft_Word远程代码执行成功” ，前提日志名称蹬宗“L2_Microsoft_Word远程代码执杏妆 ，攻击了局蹬宗“攻击成功” ，主张地址引用资产缝隙或源地址匹配威胁谍报 ，从而提升关联规定的相信度 。
建议四：ATT&CK攻击链条分析与SOAR措置建议
1、ATT&CK攻击链分析
凭据对Microsoft Word远程代码执行缝隙的攻击利用过程进行分析 ，攻击链涉及多个ATT&CK战术和技术阶段 ，覆盖的TTP蕴含：
初始接见TA0001：
垂钓T1566
执行TA0002：
用户执行 T1204
利用客户端执行T1203
号令和剧本执行T1059
2、 措置规划建议和SOAR剧本编排
通过泰合安全治理和态势感知平台内置SOAR自动化或半自动化编排联动响应措置能力 ，针对该缝隙利用的告警事务编排剧本 ，进行自动化措置 。
京公网安备11010802024551号