【資安日報】2022年5月31日，駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選

在本日的資安新聞中，我們認為研究人員發現的Office零時差漏洞最值得注意，但這項漏洞與過往大部分的漏洞不同，使用者無法透過關閉巨集的功能來防範相關攻擊行動，因為，駭客可透過Windows檔案總管支援內容預覽的檔案格式，就能利用這項漏洞。

微軟發布的功能更新預覽版程式，有可能造成防毒軟體部分功能無法作用！趨勢科技最近發布資安通告，指出KB5014019更新套件會影響旗下的端點防護軟體運作，呼籲用戶暫時先移除該更新軟體。

而國際資安競賽的部分，近期臺灣團隊也有所成果。臺灣聯隊Balsn.217@TSJ.TW在DEF CON CTF（駭客搶旗攻防賽）的預賽取得好成績，並將於8月前往賭城與15個隊伍較勁。

【攻擊與威脅】

研究人員揭露Office零時差漏洞，駭客可藉由RTF檔案觸發

去年9月微軟的Office軟體出現MSHTML重大漏洞CVE-2021-40444，而可能讓攻擊者透過內含ActiveX元件的Office檔案觸發漏洞，最近有研究人員找到類似的RCE漏洞，即使用戶關閉巨集也難以防範駭客的攻擊。

資安研究團隊Nao_sec在調查上述的MSHTML漏洞時，意外在惡意軟體分析平臺VirusTotal看到惡意Word檔案，一旦使用者開啟，該檔案就會經由外部連結載入HTML檔案，並使用MSProtocol URI Scheme（ms-msdt）架構載入程式碼，進而執行PowerShell。資安專家Kevin Beaumont指出，Nao_sec的發現揭露了未知的Office漏洞，雖然使用者可透過受保護的檢視（Protected View）機制，來防止惡意檔案在開啟時就執行巨集，但若是駭客改用RTF格式的文件檔案發動攻擊，則因為Windows的檔案總管就能預覽內容，有可能在不需受害者開啟檔案就能利用漏洞發動攻擊。

Kevin Beaumont將這項漏洞稱為Follina，並指出Office 2013至2021版都可能受到影響。微軟於5月30日將其登錄為CVE-2022-30190列管，並指出該漏洞與Windows支援診斷工具（MSDT）有關，CVSS評分為7.8分。目前尚未有修補程式，但微軟提出了停用相關通訊協定的緩解措施。

Windows 11、Server 2022功能更新恐導致部分趨勢端點防護軟體功能失常

微軟於5月24日發布Windows 11、Windows Server 2022的預覽版更新程式，但很可能導致防毒軟體無法正常運作。趨勢科技於5月26日發布資安通告指出，使用者若是在執行Windows 11與Windows Server 2022的電腦上，安裝微軟近日發布的KB5014019更新套件，將會導致該公司旗下多項企業端點防護產品的User Mode Hooking（UMH）元件失效，而使得勒索軟體防護等進階功能無法發揮作用。

受到影響的產品包括Apex One 2019、Apex One as a Service 2019、Worry-Free Business Security Services 6.7、Worry-Free Business Security Advanced 10.0，以及Deep Security 20.0。由於上述Windows更新套件改善多項使用者操作流程，趨勢科技正著手調查，並在微軟向所有用戶推送相關更新前解決上述問題。若是用戶已安裝上述預覽版更新套件，趨勢科技建議用戶應先移除，以免防護層級降低。

【漏洞與修補】

逾千萬用戶的Chrome視訊共享外掛程式Screencastify恐曝露用戶隱私

隨著遠距工作、線上學習的情況越來越常見，能存取電腦視訊鏡頭的軟體也變得熱門，但在此同時這類軟體一旦出現漏洞，很有可能會被攻擊者用來擷取視訊鏡頭的影像。研究人員Wladimir Palant在2月中旬，通報名為Screencastify的Chrome外掛程式存在漏洞，但該名研究人員指出，當時開發者僅修補了部分跨網站指令碼（XSS）漏洞，其他漏洞仍未獲得修補，使得使用者面臨與Screencastify合作的其他平臺曝露相關風險。

研究人員指出，該外掛程式會向用戶要求Google Drive的永久OAuth憑證，以便該外掛程式能自動上傳、下載影片檔案，一旦攻擊者搭配上述修補不完全的XSS漏洞，就有機會透過上述的OAuth憑證來存取受害者Google Drive其他檔案。研究人員透過概念性驗證攻擊來啟動受害電腦的視訊鏡頭，過程無須使用者互動。對此，該開發者表示，他們將透過更為嚴謹的內容安全政策，來防堵用戶可能曝險的情況。

【資安產業動態】

臺灣聯隊DEF CON CTF搶旗賽線上初賽獲第二名，八月進軍賭城實體較勁

隨著疫情趨緩、各國邊境陸續解封，預計在今年8月11日至14日於美國拉斯維加斯舉辦的DEF CON CTF（駭客搶旗攻防賽）即將重新以實體比賽的方式進行。而在5月28日至5月30日舉辦的CTF線上資格賽，臺灣聯隊Balsn.217@TSJ.TW戰隊最終順利取得預賽第二名的資格，而這個結果也等於確認該隊可以參加8月的DEF CON CTF，和資格賽前十五名，以及去年DEF CON CTF第一名隊伍Katzebin，總計16隊網路好手現場較勁。

值得一提的是，從2018年起，本項搶旗攻防賽都是由主辦單位O.O.O.（Order-of-the-Overflow）負責出題，今年適逢DEF CON屆滿30週年，命題的工作將交由新團隊Nautilus Institute負責。

博通宣布將以610億美元買下VMware

美國晶片製造商博通（Broadcom）於5月26日宣布，將斥資610億美元買下VMware，該公司將以現金及股票支付上述金額，並預計在2023年10月31日前完成。在併購完成後，博通的軟體部門Broadcom Software Group將更名為VMware，並納入該公司現有的基礎設施與安全軟體解決方案。

根據VMware於5月20日收盤價95.71美元來推估，博通約溢價44%買下VMware。自併購的消息傳出後，VMware股價一路上漲，至26日收盤價來到120.54美元。博通指出，本交易案將讓該公司日後能提供企業更為兼具效通與安全的解決方案。