Excel 曝出 Power Query 安全漏洞 1.2 亿用户易受远程 DDE 攻击
近日，Mimecast 威胁中心的安全研究人员，发现了微软 Excel 电子表格应用程序的一个新漏洞，获致 1.2 亿用户易受 *** 攻击。其指出，该安全漏洞意味着攻击者可以利用 Excel 的 Power Query 查询工具，在电子表格上启用远程动态数据交换（DDE），并控制有效负载。此外，Power Query 还能够用于将恶意代码嵌入数据源并进行传播。
（图自：Mimecast，via BetaNews）
Mimecast 表示，Power Query 提供了成熟而强大的功能，且可用于执行通常难以被检测到的攻击类型。
令人担忧的是，攻击者只需引诱受害者打开一个电子表格，即可发起远程 DDE 攻击，而无需用户执行任何进一步的操作或确认。
对于这项发现，Ofir Shlomo 在一篇博客文章中写到：
Power Query 是一款功能强大且可扩展的商业智能（BI）工具，用户可将其与电子表格或其它数据源集成，比如外部数据库、文本文档、其它电子表格或网页等。
链接源时，可以加载数据、并将之保存到电子表格中，或者动态地加载（比如打开文档时）。
Mimecast 威胁中心团队发现，Power Query 还可用于发起复杂的、难以检测的攻击，这些攻击结合了多个方面。
借助 Power Query，攻击者可以将恶意内容嵌入到单独的数据源中，然后在打开时将内容加载到电子表格中，恶意代码可用于删除和执行可能危及用户计算机的恶意软件。
Power Query 提供了如何丰富的控件选项，即便在发送任何有效的负载之前，它也能够用于采集受害者机器或沙箱指纹。
攻击者具有潜在的预有效负载和预开发控制，在向受害者传播恶意负载同时，还能够欺骗文件沙箱或其它安全解决方案，误认为其是无害的。
作为协调漏洞披露（CVD）的一部分，Mimecast 与微软合作，来鉴定操作是否是 Power Query 的预期行为，以及相应的解决方案。
遗憾的是，微软并没有发布针对 Power Query 的漏洞修复程序，而是提供一种解决方案来缓解此问题。
（稿源：cnBeta，封面源自 *** 。）
“Excel 曝出 Power Query 安全漏洞 1.2 亿用户易受远程 DDE 攻击” 的相关文章
3 月份近 90% 的网络攻击是针对俄罗斯和乌克兰的
我们已经习惯了来自俄罗斯的大量网络攻击，但在乌克兰被入侵后出现了一个有趣的转变，3月份70%的网络攻击反过来都是针对俄罗斯的。Atlas VPN的研究显示，还有19%的攻击是针对乌克兰的。美国是第三大目标，但国际局势让针对该国的攻击只占总数的5%。 3月5日，随着匿名黑客宣布对俄罗斯进行全面的网络...
Google：2021 年 Play Store 禁止 19 万恶意账户 删除 120 万个恶意 APP
隐私和安全成为了 Play Store 的更高优选项。Google 近期封杀第三方通话录音应用之外，还引入了“data safety”（数据安全）部分，要求开发人员提供更多关于他们收集的任何用户数据及其背后目的的信息。现在，Google 公开了 2021 年关于 Play Store 安全的统计数据...
据称黑客泄露了多达 37GB 的来自微软的源代码
据称，一个黑客组织泄露了微软37GB的源代码，这些代码与包括Bing和Cortana在内的数百个项目有关，这是一系列重大网络安全事件中的最新一起。Lapsus$黑客组织在周一晚上公开发布了一个9GB的压缩文件。据称，该7zip档案包含了从微软获得的250多个内部项目。 据称这些数据来自微软的Az...
全球 76% 的公司在过去一年中曾遭遇因技术问题导致的业务中断
Atlas VPN的新研究显示，全球76%的公司在过去一年中遭遇过服务停机。原因包括系统崩溃、人为错误和网络攻击是造成停机的主要原因。此外，许多IT经理对越来越多的政治驱动的网络攻击感到担忧。 系统崩溃被认为是公司停机的首要原因，52%的人不得不处理这个问题。42.3%的IT经理认为人为错误是导致公...
苹果尚未修补 macOS Big Sur 与 Catalina 的关键漏洞
尽管发布了一个更新来解决macOS Monterey中的两个零日漏洞，但苹果还没有将其应用于最后两个macOS版本，这可能会让多达40%正在使用的Mac计算机处于危险之中。 苹果在2022年3月31日对macOS Monterey的更新中解决了这些关键的漏洞。然而，到目前为止，它还没有更新macO...
QNAP 修复了关键的 QVR 远程命令执行漏洞
近期，QNAP发布了几项安全公告，其中一项针对严重的安全问题，该问题允许在易受攻击的QVR系统上远程执行任意命令，该公司的视频监控解决方案托管在NAS设备上。QVR IP视频监控系统支持多重频道和跨平台视频解码，专为监控家庭和办公环境而设计。该漏洞编号为CVE-2022-27588，严重程度得分为...
评论列表
发表评论
