Microsoft 365中存在117个漏洞，微软临时禁用SketchUp

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Zscaler 公司的 ThreatLabz 研究团队发现，微软增加 SketchUp (SKP) 文件支持后，Microsoft 365应用中出现了117个唯一漏洞。

2022年6月，SKP文件作为 Office 3D 组件的一部分，引入 Microsoft 365 中，可使用户在创建演讲文件和可视化数据时，处理更多的 3D 文件类型格式。

SKP是一种在2000年前后出现的专有文件格式，用于存储创建 3D 模型的必要信息，如今已成为全球顶级架构文件计划之一。在 Office 中，选择“插入”目录中的“3D模型”，然后选择所需文件即可插入SKP文件。一旦将SKP文件插入 Microsoft 365 应用中，就可通过 SketchUP SDK 中的特定API进行解析。在分析 Microsoft 365 解析 SKP 文件时，研究人员发现调用了多个 SketchUp API 和封装函数。

研究人员通过模糊测试共找到20个安全缺陷，包括堆缓冲溢出、整数溢出、界外写、栈缓冲溢出、类型混淆和释放后使用漏洞等。进一步调查发现，如果镜像文件被嵌入到 SKP 文件中，则第三方库 FreeImage 就被用于解析。

FreeImage 自2018年开始就未更新，研究人员通过模糊测试从中发现了97个唯一漏洞，之后在 Microsoft 365 中成功复现。攻击者可诱骗目标用户打开特别构造的 SketchUp 文件来利用这些漏洞。

微软发布了三个CVE编号来追踪这些漏洞，它们是CVE-2023-28285、CVE-2023-29344和CVE-2023-33146且均为远程代码执行漏洞，并在4月、5月和6月发布补丁。

然而，研究人员表示他们能够成功绕过这些补丁。为此，微软临时禁用了对 SKP 文件格式的支持。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

【已复现】Microsoft Word 远程代码执行漏洞安全风险通告

【已复现】Microsoft Exchange Server "OWASSRF" 漏洞安全风险通告

微软提高 Microsoft 365 的漏洞奖励

用于安全连接 Microsoft 365 的 Mimecast 数字证书被盗

原文链接

https://www.securityweek.com/microsoft-temporarily-disables-sketchup-support-after-discovery-of-117-vulnerabilities/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~