【漏洞通告】Microsoft Office 安全特性绕过漏洞 CVE-2023-21715

漏洞名称：

Microsoft Office 安全特性绕过漏洞 CVE-2023-21715

组件名称：

Microsoft Office Publisher

影响范围：

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft 365 Apps for Enterprise for 64-bit Systems

漏洞类型：

远程代码执行

利用条件：

1、用户认证：否
2、前置条件：默认配置
3、触发方式：本地，需要打开恶意文件

综合评价：

<综合评定利用难度>：容易，无需授权即可远程代码执行。

<综合评定威胁等级>：高危，能造成远程代码执行。

官方解决方案：

已发布

漏洞分析

组件介绍

Microsoft Office Publisher 是微软公司发行的桌面出版应用软件。它常被人们认为是一款入门级的桌面出版应用软件，它能提供比 Microsoft Word 更强大的页面元素控制功能。

漏洞简介

近日，深信服安全团队监测到一则 Office Publisher 组件存在安全特性绕过漏洞的信息，漏洞编号：CVE-2023-21715，漏洞威胁等级：高危。

该漏洞可以绕过Office 用于阻止不受信任或恶意文件的宏策略并执行恶意的宏代码，攻击者可以通过社会工程说服受害者从网站下载并打开特制文件来利用此漏洞。

影响范围

Microsoft Office 是由 Microsoft (微软)公司开发的一套基于 Windows 操作系统的办公软件套装，Publisher 是其中一个组件。由于其便捷性和安全性被广泛使用，成为最流行的办公软件套件之一，全球有大量使用 Office 的用户。

目前受影响的Office版本：

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft 365 Apps for Enterprise for 64-bit Systems

漏洞验证

搭建 Microsoft 365MSO 组件 2301 build 16.0.16026.20002 版本环境，复现该漏洞，效果如下：

解决方案

官方修复建议

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-21715

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-21715

时间轴

2023/2/15

深信服监测到微软官方发布安全补丁。

2023/2/15 

 深信服千里目安全实验室发布微软漏洞通告。

2023/2/18

深信服千里目安全实验室发布 Office 漏洞通告。

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。