2017-02-20

Google旗下的Project Zero團隊上周再度藉由自動系統揭露了多個微軟Windows平台的安全漏洞，相關漏洞出現在EMF（Enhanced Metafile）紀錄處理DIBs（Device Independent Bitmaps，裝置無關位元映像檔）時，可能曝露系統上的機密資料。

根據該團隊的說明，微軟曾在2016年6月釋出的MS16-074修補了有關的漏洞，當時微軟宣稱這些漏洞將允許駭客繞過ASLR（位址空間配置隨機載入）的安全機制，導致機密資料外洩，若搭配其他漏洞則可造成程式攻擊。

然而，Project Zero卻發現，MS16-074並未有效修補所有漏洞，仍有部份漏洞門戶大開，該團隊還打造了概念性驗證程式，只要利用含有惡意EMF檔案的.docx文件，就能從在地端的Internet Explorer或遠端的Office Online展開攻擊，取得諸如使用者資料或虛擬位址空間等機密資訊。

由於Project Zero採用的是自動化的揭露機制，因此在去年的11月16日提報了該漏洞之後，系統自動在90天後（2/14）公開了漏洞資訊。