| CVE編號 | CVE-2017-11827,CVE-2017-11836,CVE-2017-11837,CVE-2017-11838,CVE-2017-11839,CVE-2017-11840,CVE-2017-11841,CVE-2017-11843,CVE-2017-11845,CVE-2017-11846,CVE-2017-11858,CVE-2017-11861,CVE-2017-11862,CVE-2017-11866,CVE-2017-11869,CVE-2017-11870,CVE-2017-11871,CVE-2017-11873,CVE-2017-11827,CVE-2017-11837,CVE-2017-11838,CVE-2017-11843,CVE-2017-11846,CVE-2017-11855,CVE-2017-11856,CVE-2017-11858,CVE-2017-11869,CVE-2017-11831,CVE-2017-11832,CVE-2017-11835,CVE-2017-11842,CVE-2017-11847,CVE-2017-11849,CVE-2017-11850,CVE-2017-11851,CVE-2017-11852,CVE-2017-11853,CVE-2017-11880,CVE-2017-11877,CVE-2017-11878,CVE-2017-11882,CVE-2017-11884,CVE-2017-11770,CVE-2017-11876,CVE-2017-11830,CVE-2017-11788,CVE-2017-11879,CVE-2017-11883,CVE-2017-8700,CVE-2017-11768,CVE-2017-11854,CVE-2017-11791,CVE-2017-11834,CVE-2017-11848,CVE-2017-11803,CVE-2017-11833,CVE-2017-11844,CVE-2017-11863,CVE-2017-11872,CVE-2017-11874 |
|---|---|
| 影響產品 | Windows 7、8、10；Windows Server 2008、2012、2016；Internet Explorer 9、10、11；Microsoft Office 2007、2010、2013、2013RT、2016；Microsoft Office Web Apps 2010、2013；NET Core 1.0、1.1、2.0；ASP.NET 1.0、1.1、2.0 |
| 解決辦法 | (1)微軟使用者請設定啟用自動更新，或參考官方下載中心。 (2)更改登錄值，停用Microsoft Equation Editor [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}] "Compatibility Flags"=dword:00000400 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}] "Compatibility Flags"=dword:00000400 |
| 張貼日 | 2017-11-17 |
| 上稿單位 | TWCERT/CC |
●概述：
Microsoft多項產品存在弱點，駭客可藉此攻擊作業系統、瀏覽器、OFFICE，製造惡意檔案、request、網頁、URL，能觸發記憶體錯誤，繞過安全檢查機制，挖掘機密資料，執行惡意代碼並造成服務中斷，官方就相關版本軟體提供對應之安全更新。
●編註：
(1)OS
(1-1)Windows Kernel：本機用戶開啟加工過字型檔，可能觸發記憶體位址初始化錯誤、內嵌字型解析異常，而取得隱密資料；另於本機執行經變造之程式，將產生Win32k及Graphics Component上物件記憶體處理錯誤，導致核心級權限用來執行任意程式碼。
(1-2)Windows Device Guard：遠端駭客利用檔案簽章破綻，繞過Device Guard安全限制。
(1-3)Windows Search Object：遠端駭客送出特製訊息至搜尋服務，觸發件記憶體處理錯誤並衍生DoS狀態。
(1-4)Media Player：本機用戶使用惡意程式攻擊播放器弱點，可獲知隱密資訊辦別特定檔案存在與否。
(2)Scripting Engine
(2-1)Internet Explorer：遠端駭客利用IE多項弱點，讓受害者載入特製內容，觸發記憶體處理錯誤、網頁內容處理瑕疵，可能觀看機敏資料，甚至發掘隱密導覽訊息頁；循同樣手法亦可造成object memory處理錯誤而執行任意代碼。
(2-2)Edge：遠端駭客探勘多項Edge弱點，讓受害者載入加工內容，觸發object memory錯誤而衍生RCE事件及資料外洩；或者觸發跨來源請求(Cross Origin Request)錯誤後暴露瀏覽器上所有開啟網頁；同樣地採取變造網頁內容手法，亦可繞過內容安全政策(CSP)控管，避開跨來源資源分享(CORS)轉向限制而將瀏覽器導向其他網站，經由即時(JIT)compiler運作中產生之記憶體存取錯誤，躲過Control Flow Guard (CFG)對緩衝區溢位導致後發的代碼執行之限制。
(3)OFFICE
(3-1)Excel：遠端駭客可避開macro安全控制而執行macro，亦可讓受害者開啟加工檔案，觸發記憶體處理錯誤而執行惡意代碼。其中有一存活17年之久的stack buffer overflow漏洞，發生在方程式編輯器(Equation Editor)元件，這是一個out-of-process COM server，由eqnedt32.exe執行檔生效。因為In-process COM servers是由dynamic linked library (DLL)執行的，受到DEP(Data Execution Prevention)和ASLR(Address space layout randomization)保護，能
隨機配置資料位址且額外檢查惡意程式碼，此類CFG目的即為避免Memory corruption，然而直到Office 2016，eqnedt32.exe未經DYNAMICBASE旗標連結，故無法隨機配置位址，Equation Editor身為out-of-process COM server，意味著無保護，基於上述原因，安裝Enhanced Mitigation Experience Toolkit (EMET)或是Windows Defender Exploit Guard protections對此資深漏洞皆無效。
(3-2)Project與SharePoint：兩款軟體具有共同漏洞，來自遠端的惡意HTML page 及URL，可建立跨網站偽冒要求，如同受害者般進行介面操作。
(3-3)Word：遠端駭客讓受害者開啟惡意檔案，觸發object memory處理錯誤且以受害者身分執行任意程式碼。
(4)Microsoft .NET：遠端駭客送出變造之certificate，利用核心憑證弱點，解析過程觸發錯誤並導致程式終止。
(5)ASP.NET：核心應用程式收到惡意檔案後處理過程會生DoS；遠端發送之假造request可迴避禁止條件並取得隱密資料；受害者連結到特製URL，瀏覽器被導向其他網站。