在研究过程中，网络安全专家发现微软办公套件中存在4个安全漏洞，攻击者可以利用这些漏洞制作武器化的Word和Excel文档。

以下是网络安全专家发现的缺陷列表：

CVE-2021-31179 – MS Office 远程代码执行漏洞

CVE-2021-31174 – MS Excel 信息泄露漏洞

CVE-2021-31178 – MS Office 信息泄露中文漏洞

CVE-2021-31939 – MS Office 释放后使用漏洞

CVE-2021-31174、CVE-2021-31178、CVE-2021-31179 漏洞已被微软在5月漏洞补丁更新中解决，已作为2021年5月周二更新补丁的一部分由微软解决，在微软6月周二更新的补丁中，修复了CVE-2021-31939漏洞。

网络安全专家使用模糊测试技术来测试MSGraph COM组件(MSGraph.Chart.8、GRAPH.EXE)，该组件从Office 2003或更早版本开始就包含在套件中。

MSGraph可以嵌入到Microsoft Office套件的许多产品中，包括Word、Outlook、PowerPoint 以显示图形和图表。专家指出，从攻击面上来看，MSGraph与Microsoft公式编辑器3.0非常相似，但与Microsoft公式编辑器不同的是，MSGraph仍会在每个Office补丁中更新，并接收最新的缓解措施，如ASLR和DEP，这使得成功开发变得更加困难。

研究发现，这个攻击面同样适用于共享代码的微软其他产品，包括Excel和Office Online。由此可见，在软件开发过程中代码安全至关重要，尤其目前开源代码已被广泛应用在软件开发过程中，代码安全与否关系着产品在使用过程中是否存在网络安全隐患。建议企业及个人在软件开发过程中实时检测源代码安全漏洞并修复，以减少系统漏洞及受攻击点。

此外网络安全人员还发现，易受攻击的功能通常用于多个不同的MS Office产品，如Excel (EXCEL.EXE)、Office Online Server(EXCELCNV.EXE)和Excel for OSX。通过研究Microsoft Office的单个组件，研究人员找到了影响该生态系统中多个产品的几个漏洞，结果显示的是一组可以以不同方式嵌入的文件，潜在中利用不同Office产品横跨多个平台。

在最新的2021年6月周二补丁中，微软修复了6个被积极利用的零日漏洞和50个缺陷，其中6个零日漏洞包括：

CVE-2021-33742(CVSS 评分：7.5)——Windows MSHTML 平台远程代码执行漏洞

CVE-2021-33739(CVSS 评分：8.4)——Microsoft DWM 核心库提权漏洞

CVE-2021-31199(CVSS 评分：5.2)- Microsoft 增强型加密提供程序提权漏洞

CVE-2021-31201(CVSS 评分：5.2)- Microsoft 增强型加密提供程序提权漏洞

CVE-2021-31955(CVSS 评分：5.5)——Windows 内核信息泄露漏洞

CVE-2021-31956(CVSS 评分：7.8)——Windows NTFS 特权提升漏洞此外，“CVE-2021-31968 - Windows 远程桌面服务拒绝服务漏洞已公开披露，但未在攻击中发现。

漏洞对网络安全的影响

据统计，2020年我国新增3.5万条漏洞信息，大量的数据泄露和信息安全问题均与漏洞存在息息相关。2021年CNCERT称，通过对国内五十家银行小程序进行安全检测，平均一个小程序存在8项安全风险，在程序源代码暴露关键信息和输入敏感信息时未采取防护措施的小程序数量占比超过90%。

CNVD平台全年新增收录通用软硬件漏洞数量创历史新高，达20,704个，同比增长27.9%，近五年来新增收录漏洞数呈显著增长态势，年均增长率为 17.6%。网络安全产品自身漏洞风险上升，CNVD 收录的通用型漏洞中，网络安全产品类漏洞数量达424个，同比增长110.9%，网络安全产品自身存在的安全漏洞亟需被关注。

网络安全隐患不能仅靠外在防护

系统漏洞是网络犯罪分子实施攻击的主要目标，系统漏洞的产生主要由代码缺陷引起，因此防范由代码安全问题引起的系统漏洞是减少受到网络攻击的关键。通常情况下大多数开发人员会在软件验收阶段采取SCA或DAST等安全检测手段，但这种方式从技术上来说检测到的代码路径少，代码覆盖率不全面，也无法触及所有源代码。在此基础上，通过静态代码安全检测，能够快速准确的检测所有代码级别可执行路径组合，在研发阶段发现并修复系统漏洞问题，为企业安全降低成本。

参读链接：https://www.woocoom.com/b021.html?id=1c6ede34267140eb80cdf0b9855ae4a3

https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2021-patch-tuesday-fixes-6-exploited-zero-days-50-flaws/