Microsoft Office Web Apps 的安全更新（2020 年 7 月）

high Nessus 插件 ID 138469

语言：

简介

远程主机上安装的 Microsoft Office Web Apps 受到多个漏洞的影响。

描述

远程主机上安装的 Microsoft Office Web Apps 缺少安全更新。因此，该应用程序受到多个漏洞的影响：

- Microsoft Office 未正确披露内存内容时，存在信息泄露漏洞。攻击者可利用此漏洞，使用这些信息破坏用户的计算机或数据。(CVE-2020-1445)

- Microsoft Word 软件未正确处理内存中对象时，其中存在远程代码执行漏洞。成功利用该漏洞的攻击者可在当前用户的安全环境中使用特别构建的文件来执行操作。例如，该文件随后可代表登录用户，使用与当前用户相同的权限进行操作。（CVE-2020-1446、CVE-2020-1447、CVE-2020-1448）

- Office Web Apps 服务器未正确清理特别构建的请求时，存在伪造漏洞。经过身份验证的攻击者可利用此漏洞，向受影响的 Office Web Apps 服务器发送特别构建的请求。成功利用此漏洞的攻击者随后可在受影响的系统执行跨站脚本攻击，并在当前用户的安全环境中运行脚本。若要利用此漏洞，用户必须点击特别构建的 URL，该 URL 会将用户带到目标 Office Web App 站点。(CVE-2020-1442)

- Microsoft Office 软件由于未初始化的变量而读取越界内存时，存在信息泄露漏洞，可导致内存内容泄露。成功利用此漏洞的攻击者可查看越界内存。利用此漏洞需要用户使用受影响的 Microsoft Office 软件版本打开特别构建的文件。此安全更新通过正确初始化受影响的变量来修复漏洞。(CVE-2020-1342)