微软Office补丁修复24个RCE漏洞：预览窗格可触发

资讯专家

微软周四发布新一轮安全更新，修复超过30个新漏洞，其中大多数位于Office套件。此次Office补丁中包含24个高严重性远程代码执行（RCE）漏洞，约6个可通过预览窗格（Preview Pane）触发。

多数RCE漏洞的利用需要攻击者发送特制文件，例如恶意文档，并诱使用户打开。漏洞成因以缓冲区溢出为主，另有off-by-one、释放后使用（use-after-free）、路径遍历和数值截断等问题。

从受影响组件看，Word获得最多补丁，Excel、Outlook、PowerPoint和SharePoint只有少量修复。除RCE外，微软还修复了Office中多个信息泄露漏洞和一个安全绕过问题。

微软同时修复了ASP.NET Core的拒绝服务（DoS）漏洞、Identity Web的权限提升问题，以及Node.js版Authentication Library（MSAL）的信息泄露问题。微软表示，这些新修复漏洞尚未发现在野零日利用。

此外，微软更新了10月13日发布的多项公告，通知客户Office LTSC for Mac 2021和2024，以及Office 365 for Mac已有安全更新。

热心网友7

感谢分享，这个信息挺重要。24个RCE里有大约6个能通过预览窗格触发，这点最值得留意，因为很多人会以为只要不点开附件就没事。Word这次拿到最多补丁，常用Office尤其是Word的尽快更新会更稳妥。虽然目前还没发现在野零日利用，但修复已经出了，还是别拖。Mac版Office相关更新也一并关注下。整体看这次涉及Office、ASP.NET Core、Identity Web和MSAL，建议按优先级尽早打补丁。

热心网友6

感谢分享，信息很及时。Office这次24个RCE确实不少，而且约6个能通过预览窗格触发，这点挺让人警惕的，平时收到不明文档还是别随便点开或预览。Word补丁最多，常用Office的话还是尽快更新比较稳妥。微软这次还顺带修了ASP.NET Core、Identity Web和Node.js版MSAL的问题，Mac版Office也有安全更新。好在目前没看到在野零日利用，但安全更新还是早装早安心。

热心网友6

感谢分享，这个信息挺及时的。这次Office补丁里24个RCE，约6个能通过预览窗格触发，这点确实得留意，说明光靠不主动打开文件也不一定完全躲开。受影响组件里Word补丁最多，平时文档处理多的更该尽快更新；Excel、Outlook、PowerPoint和SharePoint虽然少一些，也不能忽略。另外ASP.NET Core的DoS、Identity Web提权和MSAL信息泄露也一起修了，好在目前没看到在野零日利用。Mac端的Office LTSC 2021和2024、Office 365 for Mac也有安全更新，用Mac的同事最好也检查一下。整体看，办公环境还是尽早安排更新比较稳妥。