安全通告
Microsoft Office MSDT代碼執(zhí)行漏洞風險通告
發(fā)布日期：2022-5-31
?
漏洞描述
5月31日，監(jiān)測到微軟發(fā)布安全公告，披露了一個Microsoft Support Diagnostic Tool 的代碼執(zhí)行漏洞（CVE-2022-30190），當從Word等應用程序使用 URL 協(xié)議調(diào)用 MSDT 時存在遠程執(zhí)行代碼漏洞，攻擊者通過制作惡意的Office文檔，誘導用戶在受影響的系統(tǒng)上打開惡意文檔后，在宏被禁用的情況下，仍可通過?‘ms-msdt’ URI執(zhí)行任意PowerShell代碼，當惡意文件保存為RTF格式時，無需受害者打開文件，即可通過資源管理器中的預覽窗格在目標系統(tǒng)上執(zhí)行任意代碼。此漏洞已被在野利用，目前已有PoC公開，請相關用戶采取措施進行防護。
MSDT（Microsoft Support Diagnostics Tool，微軟支持診斷工具）是一個Windows實用程序，用于排除故障并收集診斷數(shù)據(jù)以供專業(yè)人員分析和解決問題。
漏洞編號
CVE-2022-30190
漏洞危害
攻擊者利用此漏洞，可實現(xiàn)代碼執(zhí)行。
漏洞等級
高危
受影響版本
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows Server 2016? (Server Core installation)
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows 11 for ARM64-based Systems
Windows 11 for x64-based Systems
Windows Server, version 20H2 (Server Core Installation)
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows Server 2022 Azure Edition Core Hotpatch
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows Server 2019? (Server Core installation)
Windows Server 2019
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
修復方案
1．官方防護
目前微軟暫未針對此漏洞發(fā)布安全補丁，提供了臨時修復措施進行防護：
禁用MSDT URL協(xié)議
1、以管理員身份運行命令提示符。
2、備份注冊表項后，執(zhí)行命令“reg export HKEY_CLASSES_ROOT\ms-msdt filename”。
3、再執(zhí)行命令“reg delete HKEY_CLASSES_ROOT\ms-msdt /f”。
撤銷該禁用：
1、以管理員身份運行命令提示符。
2、備份注冊表項后，執(zhí)行命令“reg import filename”
官方參考鏈接：https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/
Microsoft Defender在1.367.719.0及以上版本支持此漏洞的檢測和防護，Microsoft Defender for Endpoint 已為用戶提供檢測和警報；Microsoft365 Defender門戶中的以下警報標題可以提示網(wǎng)絡上的威脅活動：Office 應用程序的可疑行為、Msdt.exe 的可疑行為。
2．其他防護建議
1、關閉資源管理器的預覽窗格，不輕易打開陌生鏈接或下載來歷不明的文檔；
2、如果您使用Microsoft Defender的 Attack Surface Reduction(ASR)規(guī)則，則可在Block模式下激活“阻止所有Office應用程序創(chuàng)建子進程”規(guī)則。若您還沒有使用ASR規(guī)則，可先在Audit模式下運行規(guī)則，觀察結果以確保不會對系統(tǒng)造成不利影響；
3、通過創(chuàng)建ASL規(guī)則防止Office產(chǎn)生子進程：
| Set-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a -AttackSurfaceReductionRules_Actions Enabled |
參考鏈接
1、https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30190