| 風險等級： | 高度威脅 |
| 摘 要： | 弱點通告：微軟修補 MSHTML零時差弱點漏洞，建議請管理者儘速評估更新！ |
| 影響系統： |
|
| 解決辦法： | 詳細資訊請參考微軟官方網站安全性更新 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38112 |
| 細節描述： | 7月9日微軟修補已發生攻擊行動的MSHTML零時差漏洞CVE-2024-38112，通報此事的資安業者Check Point公布駭客利用這項漏洞的手法，對方藉由讓使用者點選特製的URL檔案，啟動Internet Explorer（IE）來觸發攻擊鏈。該漏洞影響Windows 10、11，以及Windows Server 2008至2022所有版本，CVSS風險評為7.5分。
駭客使用特製的網路捷徑檔案（.URL）觸發漏洞，一旦使用者開啟，電腦就會啟動系統停用的Internet Explorer（IE）存取攻擊者控制的網站，而能讓對方達到目的。 另一方面，駭客也指定這個URL檔案使用的圖示，是Edge執行檔裡的PDF檔案圖示資源，如此一來，使用者就很容易誤以為他們開啟的是PDF檔案。 若是依照指示開啟，電腦卻會顯示詢問是否透過HTML應用程式主機（HTML Application Host）執行。使用者要是忽略上述的警示訊息點選允許執行，電腦將會下載惡意HTA檔案並執行，從而觸發漏洞。 |
| 參考資訊： | ithome microsoft |