近日，国家信息安全漏洞库（CNNVD）收到关于Microsoft Office内存破坏漏洞（CNNVD-201711-508）情况的报送。攻击者在不需身份验证的情况下可利用该漏洞在受影响主机上执行任意代码，安装恶意软件，进而可能控制整个系统。Microsoft Office 2007及之后的版本均受漏洞影响。目前Microsoft官方已提供针对相应版本的补丁，请Office用户及时确认是否受影响，如受到影响，请尽快更新安全补丁以修复漏洞。

一、漏洞介绍

Microsoft Office是美国微软（Microsoft）公司开发的一款办公软件套件产品。常用组件有Word、Excel、Access、Powerpoint、FrontPage等。

EQNEDT32.EXE是其中用于在文档中插入和编辑公式 (OLE 对象) 的Office组件。

Microsoft Office中存在内存破坏漏洞（CNNVD-201711-508，CVE-2017-11882），该漏洞源于程序没有正确的处理内存中的对象。攻击者可借助特制的文件利用该漏洞在当前用户的上下文中执行任意代码。以下版本受到影响： Microsoft Office 2007 SP3，Microsoft Office 2010 SP2，Microsoft Office 2013 SP1，Microsoft Office 2016。

二、危害影响

攻击者在不需身份验证的情况下可利用该漏洞在受影响主机上执行任意代码，安装恶意软件，进而可能控制整个系统。由于Microsoft Office 2007及之后的版本均使用了 EQNEDT32.EXE组件，上述版本均受漏洞影响。

三、修复建议

目前，Microsoft官方已针对上述漏洞提供修复补丁。建议受影响的Office用户及时安装补丁修复漏洞。

补丁链接如下：

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882

本通报由CNNVD技术支撑单位——北京启明星辰信息安全技术有限公司提供支持。

CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD联系。

联系方式: cnnvd@itsec.gov.cn