Microsoft 資訊安全公告 MS14-069 - 重要

Microsoft Office 的資訊安全風險可能會允許遠端執行程式碼 (3009710)

發行日期:2014 年 11 月 11 日

版本: 1.0

提要

此資訊安全更新可解決 Microsoft Office 中三項未公開報告的資訊安全風險。如果在受影響版本的 Microsoft Office 2007 中開啟蓄意製作的檔案,則這些資訊安全風險可能會允許遠端執行程式碼。成功利用此資訊安全風險的攻擊者可以取得與目前使用者相同的使用者權限。系統上帳戶使用者權限較低的客戶,其受影響的程度比擁有系統管理權限的客戶要小。

對於受支援版本的 Microsoft Word 2007、Microsoft Word Viewer 與 Microsoft Office 相容性套件,此資訊安全更新的等級為「重要」。如需更多資訊,請參閱<受影響的軟體>一節。

此資訊安全更新可修正 Microsoft Office 剖析蓄意製作之檔案的方式,進而解決這項資訊安全風險。如需更多有關此資訊安全風險的資訊,請參閱特定資訊安全風險的<常見問題集 (FAQ)>小節。

如需本文件的更多資訊,請參閱 Microsoft 知識庫文件編號 3009710 (英文)。

受影響的軟體

下列軟體已經過測試判斷哪些版號或版本會受到影響。其他版本超過它們的支援週期或不受影響。若要瞭解您的軟體版本的支援週期,請參閱 Microsoft 產品技術支援週期網站

**Microsoft Office 套件及其他軟體** **元件** **最大安全性影響** **彙總嚴重性等級** **已取代更新**
**Microsoft Office 套件**
Microsoft Office 2007 Service Pack 3 [Microsoft Word 2007 Service Pack 3](https://www.microsoft.com/zh-tw/download/details.aspx?id=44857) (2899527) 遠端執行程式碼 重要說明 [MS14-061](https://technet.microsoft.com/zh-tw/library/security/ms14-061) 中的 2883032
**其他 Microsoft Office 軟體**
[Microsoft Word Viewer](https://www.microsoft.com/zh-tw/download/details.aspx?id=44818) (2899553) 不適用 遠端執行程式碼 重要說明 [MS14-017](https://technet.microsoft.com/zh-tw/library/security/ms14-017) 中的 2878304
[Microsoft Office 相容性套件 Service Pack 3](https://www.microsoft.com/zh-tw/download/details.aspx?id=44822) (2899526) 不適用 遠端執行程式碼 重要說明 [MS14-061](https://technet.microsoft.com/zh-tw/library/security/ms14-061) 中的 2883031
 

嚴重性等級和弱點識別碼

下列嚴重性等級是假設弱點可能造成的最嚴重影響而評定。在本安全性公告發行的 30 天內,如需弱點易遭利用性與嚴重性等級和安全性影響之間對應關係的資訊,請參閱 11 月份公告摘要中的<弱點索引>。

**依受影響軟體列出的弱點嚴重性等級和最大安全性影響**
**受影響的軟體** [**Microsoft Office 重複刪除遠端執行程式碼資訊安全風險 - CVE-2014-6333**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2014-6333) [**Microsoft Office 錯誤索引遠端執行程式碼資訊安全風險 - CVE-2014-6334**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2014-6334) [**Microsoft Office 無效指標遠端執行程式碼資訊安全風險 - CVE-2014-6335**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2014-6335) **彙總嚴重性等級**
**Microsoft Office 套件**
Microsoft Word 2007 Service Pack 3 **重要** 遠端執行程式碼 **重要** 遠端執行程式碼 **重要** 遠端執行程式碼 **重要說明**
**其他 Microsoft Office 軟體**
Microsoft Word Viewer (2899553) **重要** 遠端執行程式碼 **重要** 遠端執行程式碼 **重要** 遠端執行程式碼 **重要說明**
Microsoft Office 相容性套件 Service Pack 3 **重要** 遠端執行程式碼 **重要** 遠端執行程式碼 **重要** 遠端執行程式碼 **重要說明**
 

Microsoft Office 重複刪除遠端執行程式碼資訊安全風險 - CVE-2014-6333

目前使用者的權限層級之所以存在遠端執行程式碼的資訊安全風險,是由於在剖析蓄意製作的 Office 檔案時,Microsoft Word 未正確處理記憶體中的物件所致。Microsoft 是經由協同合作的來源接獲有關此資訊安全風險的訊息。本資訊安全公告發行時,Microsoft 尚未接到任何有關本資訊安全風險已公開用來攻擊客戶的消息。此資訊安全更新可修正 Microsoft Office 剖析蓄意製作之檔案的方式,進而解決這項資訊安全風險。

緩和因素

緩和因素是指存在於預設狀態中的設定、共用設定或一般最佳作法,可能會減少弱點影響的嚴重性。下列緩和因素可能對您的狀況有所助益:

  • 此資訊安全風險無法透過電子郵件自動受到攻擊。使用者必須順利開啟電子郵件訊息中傳送的附件,攻擊才可進行。
  • 在網頁式攻擊案例中,攻擊者可以架設網站,並在網站上加入將用於利用此資訊安全風險而蓄意製作的 Office 檔案。此外,受侵害的網站以及接受或存放使用者提供之內容或廣告的網站裡,也可能包含蓄意製作以利用本資訊安全風險的內容。但無論如何,攻擊者無法強迫使用者檢視受攻擊者控制的內容,而是必須引誘使用者採取行動。一般的做法是設法讓使用者按一下電子郵件或 Instant Messenger 訊息中連往攻擊者網站的連結,然後引誘他們開啟蓄意製作的 Office 檔案。
  • 成功利用此資訊安全風險的攻擊者可以取得與目前使用者相同的使用者權限。系統上帳戶使用者權限較低的客戶,其受影響的程度比擁有系統管理權限的客戶要小。

因應措施

Microsoft 尚未找到此項弱點的任何因應措施

常見問題集

攻擊者可能會利用這項弱點採取什麼行動?
成功利用此資訊安全風險的攻擊者,能以目前使用者的權限層級執行任意程式碼。如果目前使用者以系統管理的使用者權限登入,則攻擊者即可取得受影響系統的完整控制權。攻擊者接下來將能安裝程式,檢視、變更或刪除資料,或建立具有完整使用者權限的新帳戶。系統上帳戶使用者權限較低的使用者,其受影響的程度比擁有系統管理權限的使用者要小。

攻擊者如何利用這項弱點?
使用者必須以受影響的 Microsoft Office 軟體版本開啟蓄意製作的檔案,攻擊者才有機會利用此資訊安全風險。

在電子郵件攻擊案例中,攻擊者可能會傳送蓄意製作的檔案給使用者,然後引誘使用者以受影響版本的 Microsoft Office 軟體開啟該檔案,來利用這些資訊安全風險。

在網頁式攻擊案例中,攻擊者可架設一個網站,並在網站上加入為了利用該資訊安全風險而製作的檔案。此外,受侵害的網站以及接受或存放使用者提供之內容的網站裡,也可能包含蓄意製作以利用本資訊安全風險的內容。攻擊者並不能強迫使用者造訪蓄意製作的網站,而是引誘使用者自行前往。一般的做法是設法讓使用者按一下電子郵件中或 Instant Messenger 訊息中連往攻擊者網站的連結,然後引誘他們以受影響版本的 Microsoft Word 開啟蓄意製作的檔案。

Microsoft Office 錯誤索引遠端執行程式碼資訊安全風險 - CVE-2014-6334

目前使用者的權限層級之所以存在遠端執行程式碼的資訊安全風險,是由於在剖析蓄意製作的 Office 檔案時,Microsoft Word 不當處理記憶體中的物件所致。這可能使系統記憶體損毀,從而允許攻擊者執行任意程式碼。Microsoft 是經由協同合作的來源接獲有關這些資訊安全風險的訊息。本資訊安全公告發行時,Microsoft 尚未接到任何有關本資訊安全風險已公開用來攻擊客戶的消息。此資訊安全更新可修正 Microsoft Office 剖析蓄意製作之檔案的方式,進而解決這項資訊安全風險。

緩和因素

緩和因素是指存在於預設狀態中的設定、共用設定或一般最佳作法,可能會減少弱點影響的嚴重性。下列緩和因素可能對您的狀況有所助益:

  • 此資訊安全風險無法透過電子郵件自動受到攻擊。使用者必須順利開啟電子郵件訊息中傳送的附件,攻擊才可進行。
  • 在網頁式攻擊案例中,攻擊者可以架設網站,並在網站上加入將用於利用此資訊安全風險而蓄意製作的 Office 檔案。此外,受侵害的網站以及接受或存放使用者提供之內容或廣告的網站裡,也可能包含蓄意製作以利用本資訊安全風險的內容。但無論如何,攻擊者無法強迫使用者檢視受攻擊者控制的內容,而是必須引誘使用者採取行動。一般的做法是設法讓使用者按一下電子郵件或 Instant Messenger 訊息中連往攻擊者網站的連結,然後引誘他們開啟蓄意製作的 Office 檔案。
  • 成功利用此資訊安全風險的攻擊者可以取得與目前使用者相同的使用者權限。系統上帳戶使用者權限較低的客戶,其受影響的程度比擁有系統管理權限的客戶要小。

因應措施

Microsoft 尚未找到此項弱點的任何因應措施

常見問題集

攻擊者可能會利用這項弱點採取什麼行動?
成功利用此資訊安全風險的攻擊者,能以目前使用者的權限層級執行任意程式碼。如果目前使用者以系統管理的使用者權限登入,則攻擊者即可取得受影響系統的完整控制權。攻擊者接下來將能安裝程式,檢視、變更或刪除資料,或建立具有完整使用者權限的新帳戶。系統上帳戶使用者權限較低的使用者,其受影響的程度比擁有系統管理權限的使用者要小。

攻擊者如何利用這項弱點?
使用者必須以受影響的 Microsoft Office 軟體版本開啟蓄意製作的檔案,攻擊者才有機會利用此資訊安全風險。

在電子郵件攻擊案例中,攻擊者可能會傳送蓄意製作的檔案給使用者,然後引誘使用者以受影響版本的 Microsoft Office 軟體開啟該檔案,來利用這些資訊安全風險。

在網頁式攻擊案例中,攻擊者可架設一個網站,並在網站上加入為了利用該資訊安全風險而製作的檔案。此外,受侵害的網站以及接受或存放使用者提供之內容的網站裡,也可能包含蓄意製作以利用本資訊安全風險的內容。攻擊者並不能強迫使用者造訪蓄意製作的網站,而是引誘使用者自行前往。一般的做法是設法讓使用者按一下電子郵件中或 Instant Messenger 訊息中連往攻擊者網站的連結,然後引誘他們以受影響版本的 Microsoft Word 開啟蓄意製作的檔案。

Microsoft Office 無效指標遠端執行程式碼資訊安全風險 - CVE-2014-6335

本機使用者的權限層級之所以存在遠端執行程式碼的資訊安全風險,是由於在剖析蓄意製作的 Office 檔案時,Microsoft Word 未正確處理記憶體中的物件所致。這可能使系統記憶體損毀,從而允許攻擊者執行任意程式碼。Microsoft 是經由協同合作的來源接獲有關這些資訊安全風險的訊息。本資訊安全公告發行時,Microsoft 尚未接到任何有關本資訊安全風險已公開用來攻擊客戶的消息。此資訊安全更新可修正 Microsoft Office 剖析蓄意製作之檔案的方式,進而解決這項資訊安全風險。

緩和因素

緩和因素是指存在於預設狀態中的設定、共用設定或一般最佳作法,可能會減少弱點影響的嚴重性。下列緩和因素可能對您的狀況有所助益:

  • 此資訊安全風險無法透過電子郵件自動受到攻擊。使用者必須順利開啟電子郵件訊息中傳送的附件,攻擊才可進行。
  • 在網頁式攻擊案例中,攻擊者可以架設網站,並在網站上加入將用於利用此資訊安全風險而蓄意製作的 Office 檔案。此外,受侵害的網站以及接受或存放使用者提供之內容或廣告的網站裡,也可能包含蓄意製作以利用本資訊安全風險的內容。但無論如何,攻擊者無法強迫使用者檢視受攻擊者控制的內容,而是必須引誘使用者採取行動。一般的做法是設法讓使用者按一下電子郵件或 Instant Messenger 訊息中連往攻擊者網站的連結,然後引誘他們開啟蓄意製作的 Office 檔案。
  • 成功利用此資訊安全風險的攻擊者可以取得與目前使用者相同的使用者權限。系統上帳戶使用者權限較低的客戶,其受影響的程度比擁有系統管理權限的客戶要小。

因應措施

Microsoft 尚未找到此項弱點的任何因應措施

常見問題集

攻擊者可能會利用這項弱點採取什麼行動?
成功利用此資訊安全風險的攻擊者,能以目前使用者的權限層級執行任意程式碼。如果目前使用者以系統管理的使用者權限登入,則攻擊者即可取得受影響系統的完整控制權。攻擊者接下來將能安裝程式,檢視、變更或刪除資料,或建立具有完整使用者權限的新帳戶。系統上帳戶使用者權限較低的使用者,其受影響的程度比擁有系統管理權限的使用者要小。

攻擊者如何利用這項弱點?
使用者必須以受影響的 Microsoft Office 軟體版本開啟蓄意製作的檔案,攻擊者才有機會利用此資訊安全風險。

在電子郵件攻擊案例中,攻擊者可能會傳送蓄意製作的檔案給使用者,然後引誘使用者以受影響版本的 Microsoft Office 軟體開啟該檔案,來利用這些資訊安全風險。

在網頁式攻擊案例中,攻擊者可架設一個網站,並在網站上加入為了利用該資訊安全風險而製作的檔案。此外,受侵害的網站以及接受或存放使用者提供之內容的網站裡,也可能包含蓄意製作以利用本資訊安全風險的內容。攻擊者並不能強迫使用者造訪蓄意製作的網站,而是引誘使用者自行前往。一般的做法是設法讓使用者按一下電子郵件中或 Instant Messenger 訊息中連往攻擊者網站的連結,然後引誘他們以受影響版本的 Microsoft Word 開啟蓄意製作的檔案。

資訊安全更新部署

如需資訊安全更新部署資訊,請在這裡參閱<提要>中的 Microsoft 知識庫文章。

感謝

Microsoft 了解資訊安全業界所做的努力,其盡責地透露資訊安全風險來協助我們保護客戶。請參閱認可 (英文) 以取得詳細資訊。

免責聲明

Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係以其「現狀」提供,並不提供任何形式之擔保。Microsoft 不做任何明示或默示的責任擔保,包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害,Microsoft Corporation 及其供應商皆不負任何法律責任,包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任,因此前述限制不適用於這些地區。

日期

  • V1.0 (2014 年 11 月 11 日):公告發行。

頁面產生時間:2014-11-05 15:18Z-08:00。