微软字处理软件Word曝出新漏洞

近日Cymulate的网络安全人员在Microsoft Office 2016以及之前的办公软件中发现了一个尚未修复的漏洞，黑客可以利用该漏洞在办公文件中注入恶意代码或是诱使用户点击运行恶意软件。

该漏洞利用的是字处理软件Word中的插入“在线视频”功能，该功能允许用户在文件中插入在线视频链接。当用户在文档中添加在线视频链接后，该功能会自动生成HTML嵌入脚本，其他用户只需点击文本中的视频缩略图，便会自动触发该脚本。研究人员向微软公司汇报后，该公司却认为这不是一个安全漏洞。

运行机制

新版的Word文档格式.docx其实可以看作是个压缩包，其中包括了媒体和其他配置文件，可以单独对这些内容进行编辑。

研究人员发现，其中的“document.xml”配置文件是Word文档默认的XML文件，其中还包括了嵌入式视频框架脚本，而这些脚本可以可以用目前其他的iFrame脚本或javascript脚本来代替。这就意味着黑客可以使用其他恶意代码来代替Word文档中的嵌入式视频下载脚本，方法很简单，只需在.xml文件中，在WebVideoPr标签下查找embeddedHtml参数，其中就包含有在线视频框架代码，将这些代码替换后保存.xml文件，新的docx文档中就含有新的视频框架文件，而这些修改的代码不会在文档打开时受到安全警告。

研究人员为了验证该漏洞，特意制作了一份带有嵌入式在线视频链接的docx文档，当用户点击视频缩略图后，会弹出加载的嵌入式播放器，整个过程没有任何安全警告。