國立臺灣大學計算機及資訊網路中心

微軟在 9 月 8 日公告一個 Windows 系統的「零時差漏洞」（CVE-2021-40444），駭客可利用此漏洞接管使用者電腦。

事件說明

本次微軟公布的CVE-2021-40444 CVSS，其風險評分為8.8屬於高風險性的重大漏洞，駭客能夠利用含有惡意ActiveX 的office文件觸發XMLHttpRequest，進而連線至外部的惡意中繼站下載相關元件，並透過瀏覽器載入達成執行任意程式碼的目的，根據微軟 MSRC 的公告指出，發現已有駭客團體透過大量寄發垃圾郵件散播惡意的office文件。

影響範圍

1. Windows 7
2. Windows 8
3. Windows 10 21H1 以下版本
4. Windows 2008到~2019所有版本

防護建議措施

該漏洞採用惡意的office文件散播，故使用者須注意請勿開啟有疑慮的Office文件。

微軟官方已於9月15日下午已發布針對該漏洞的修補程式，請使用者盡速透過Windows Update或下列網址下載並安裝更新Patch。
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444

參考資料

1. https://www.ithome.com.tw/news/146913
2. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444
3. https://paper.seebug.org/1718/
4. https://www.nccst.nat.gov.tw/VulnerabilityDetail?lang=zh&seq=1179