Lỗ hổng có định danh CVE-2024-38200 (điểm CVSS: 7,5), được mô tả là một lỗ hổng giả mạo ảnh hưởng đến các phiên bản Office:

- Microsoft Office 2016 cho phiên bản 32 bit và 64 bit

- Microsoft Office LTSC 2021 cho phiên bản 32 bit và 64 bit

- Ứng dụng Microsoft 365 dành cho doanh nghiệp cho phiên bản 32 bit và 64 bit

- Microsoft Office 2019 cho phiên bản 32 bit và 64 bit

Lỗ hổng được phát hiện và báo cáo bởi các nhà nghiên cứu Jim Rush và Metin Yunus Kandemir.

Microsoft cho biết rằng: “Trong một kịch bản tấn công dựa trên web, kẻ tấn công có thể sử dụng một trang web (hoặc lợi dụng một trang web bị xâm phạm để lưu trữ nội dung do người dùng cung cấp) có chứa một tệp độc hại được thiết kế nhằm khai thác lỗ hổng bảo mật. Tuy nhiên, kẻ tấn công sẽ không có cách nào để buộc người dùng truy cập trang web. Thay vào đó, kẻ tấn công sẽ phải thuyết phục người dùng nhấp vào một liên kết, thường là thông qua lừa đảo qua email hoặc tin nhắn trực tuyến, sau đó lừa họ mở tệp độc hại”.

Bản vá chính thức cho CVE-2024-38200 dự kiến ​​sẽ được phát hành vào ngày 13/8 như một phần của bản cập nhật hàng tháng Patch Tuesday, nhưng Microsoft cho biết đã xác định được biện pháp thay thế và đã kích hoạt nó thông qua Feature Flighting kể từ ngày 30/7/2024.

Hãng cũng lưu ý rằng mặc dù khách hàng đã được bảo vệ trên tất cả các phiên bản được hỗ trợ của Microsoft Office và Microsoft 365, nhưng điều cần thiết là phải cập nhật lên phiên bản vá lỗi cuối cùng khi có sẵn sau vài ngày nữa để được bảo vệ tối ưu nhất.

Microsoft cũng đưa ra thêm ba chiến lược giảm thiểu, bao gồm:

- Cài đặt cấu hình bảo mật mạng: "Network Security: Restrict NTLM: Outgoing NTLM traffic to remote servers" cung cấp khả năng cho phép, chặn hoặc kiểm tra lưu lượng NTLM gửi từ máy tính chạy Windows 7, Windows Server 2008 hoặc phiên bản mới hơn đến bất kỳ máy chủ từ xa nào chạy hệ điều hành Windows.

- Thêm người dùng vào Nhóm bảo mật người dùng được bảo vệ (Protected Users Security Group), điều này ngăn chặn việc sử dụng NTLM làm cơ chế xác thực.

- Chặn lưu lượng TCP 445/SMB ra khỏi mạng bằng cách sử dụng tường lửa biên, tường lửa cục bộ và thông qua cài đặt VPN để ngăn chặn việc gửi tin nhắn xác thực NTLM đến các chia sẻ tệp từ xa.

Thông tin này được đưa ra khi Microsoft cho biết họ đang nỗ lực giải quyết hai lỗ hổng zero-day (CVE-2024-38202 và CVE-2024-21302) có thể bị khai thác để "vượt qua bản vá" cho các hệ thống Windows đã cập nhật và tái lập các lỗ hổng cũ.