共计 3814 个字符，预计需要花费 10 分钟才能阅读完成。
1 破绽形容
微软反对诊断工具（MSDT，Microsoft Support Diagnostic Tool）是一种实用程序，用于排除故障并收集诊断数据，供业余人员剖析和解决问题。
Microsoft Office 是由 Microsoft(微软) 公司开发的一套办公软件套装。罕用组件有 Word、Excel、PowerPoint 等。
2022 年 5 月 30 日，微软公司公布了 Microsoft MSDT 近程代码执行破绽的紧急平安布告。未经身份验证的攻击者利用该破绽，诱使用户间接拜访或者预览歹意的 Office 文档，通过歹意 Office 文档中的近程模板性能，从服务器获取蕴含恶意代码的 HTML 文件并执行，从而实现以以后用户权限下的任意代码执行攻打。
该破绽已知触发须要用户对歹意 Office 文档进行间接拜访，该破绽在宏被禁用的状况下仍能通过 Microsoft Support Diagnostics Tool (MSDT) 性能执行代码。当歹意文件保留为 RTF 格局时，无需关上文件，通过资源管理器中的预览选项卡即可在指标机器上执行任意代码。
攻击者利用该破绽，可在未受权的状况下近程执行代码，目前破绽利用代码已公开，且已呈现在朝利用的状况。
2 影响版本
Windows Server 2012 R2 (Server Coreinstallation)
Windows Server 2012 R2
Windows Server 2012 (Server Coreinstallation)
Windows Server 2012
Windows Server 2008 R2 for x64-basedSystems Service Pack 1 (Server
Core installation)
Windows Server 2008 R2 for x64-basedSystems Service Pack 1
Windows Server 2008 for x64-basedSystems Service Pack 2 (Server Core
installation)
Windows Server 2008 for x64-basedSystems Service Pack 2
Windows Server 2008 for 32-bit SystemsService Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit SystemsService Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems ServicePack 1
Windows 7 for 32-bit Systems ServicePack 1
Windows Server 2016 (Server Coreinstallation)
Windows Server 2016
Windows 10 Version 1607 for x64-basedSystems
Windows 10 Version 1607 for 32-bitSystems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows 10 Version 21H2 for x64-basedSystems
Windows 10 Version 21H2 for ARM64-basedSystems
Windows 10 Version 21H2 for 32-bitSystems
Windows 11 for ARM64-based Systems
Windows 11 for x64-based Systems
Windows Server, version 20H2 (ServerCore Installation)
Windows 10 Version 20H2 for ARM64-basedSystems
Windows 10 Version 20H2 for 32-bitSystems
Windows 10 Version 20H2 for x64-basedSystems
Windows Server 2022 Azure Edition Core Hotpatch
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows 10 Version 21H1 for 32-bitSystems
Windows 10 Version 21H1 for ARM64-basedSystems
Windows 10 Version 21H1 for x64-basedSystems
Windows Server 2019 (Server Coreinstallation)
Windows Server 2019
Windows 10 Version 1809 for ARM64-basedSystems
Windows 10 Version 1809 for x64-basedSystems
Windows 10 Version 1809 for 32-bitSystems
3 破绽标签
0Day: 曾经被发现(有可能未被公开)，而官网还没有相干补丁的破绽。
1Day: 官网公布相干补丁的破绽或破绽通告，1-3 天内无 POC、EXP 公开。
nDay: 公开很久的破绽，通杀性较低。
POC:(Proof of Concept)破绽验证代码，检测指标是否存在对应破绽。
EXP:(Exploit)破绽利用代码，运行之后对指标进行攻打。
4 破绽评级
4.1 CVSS 评分
断定规范 后果
近程
攻打矢量（AV）
攻打复杂度（AC）简略
权限要求（PR）无需权限
用户交互（UI）是
范畴（S）不扭转
机密性影响（CI）高
完整性影响（II）高
可用性影响（AI）高
危害水平断定 高危
4.2 CVSS 向量
评分标准 分值
CVSS 3.x 8.8
CVSS 2.0 N/A
CVSS(Common Vulnerability Scoring System, 通用破绽评估办法)，是由 NIAC 公布、FITST 保护的开放式行业标准，帮助平安从业人员应用标准化、规范化、统一化的语言对计算机系统安全漏洞的严重性进行评估。CVSS 系统对所有破绽依照从 0.0 至 10.0 的级别进行评分，其中，10.0 示意最高平安危险。
在 CVSS 零碎中取得分数 0.0 至 3.9 的为低危，仅可能通过本地环境利用且须要认证。胜利的攻击者很难或无法访问不受限制的信息、无奈毁坏或损坏信息且无奈制作任何零碎中断。示例：包含默认或可揣测的 SNMP 社区名称以及 OpenSSL PRNG 外部状态发现破绽。
在 CVSS 零碎中取得分数 4.0 至 6.9 的为中危，中危可被领有中级入侵教训者利用，且不肯定须要认证。胜利的攻击者能够局部拜访受限制的信息、能够毁坏局部信息且能够禁用网络中的个体指标零碎。
示例：包含容许匿名 FTP 可写入和弱 LAN 管理器散列。在 CVSS 零碎中取得分数 7.0 至 10.0 的为高危，可被轻易拜访利用，且简直不须要认证。胜利的攻击者能够拜访机密信息、能够毁坏或删除数据且能够制作零碎中断。示例：包含匿名用户能够获取 Windows 明码策略。
5 破绽验证
5.1 破绽环境
测试零碎环境：Windows10
5.2 验证过程与后果
Ø 验证指标终端是否存在破绽
6 解决方案
微软公司已公布破绽缓解措施，暂未公布漏洞补丁。
倡议审慎拜访来历不明的 Office 文档，同时依照以下微软布告及时采取破绽长期缓解措施，并亲密关注后续的补丁更新状况。
Microsoft Defender 在 1.367.719.0 及以上版本反对此破绽的检测和防护，Microsoft Defender for Endpoint 已为用户提供检测和警报；Microsoft365
Defender 门户中的以下警报题目能够提醒网络上的威逼流动：Office 应用程序的可疑行为、Msdt.exe 的可疑行为。
微软破绽缓解指南：
https://msrc-blog.microsoft.c…
0-microsoft-support-diagnostic-tool-vulnerability/
办法一：禁用 MSDT URL 协定
禁用 MSDT URL 协定可避免故障排除程序作为链接启动，包含整个操作系统的链接。依然能够应用“获取帮忙”应用程序和零碎设置中的其余或附加故障排除程序来拜访故障排除程序。请依照以下步骤禁用：
- 以管理员身份运行命令提示符
- 要备份注册表项，请执行命令“reg export HKEY_CLASSES_ROOT\ms-msdt
filename“
- 执行命令“reg delete HKEY_CLASSES_ROOT\ms-msdt /f”
用户可通过执行以下缓解计划防止受该破绽影响：
办法二：其余防护倡议：
- 警觉下载来路不明的文档，同时敞开 Office 预览窗格。
- 近期对于不明来历的文档倡议优先应用 WPS 进行查看。
- 如果在您的环境中应用 Microsoft Defender 的 Attack Surface Reduction(ASR) 规定，则在 Block 模式下激活“阻止所有 Office 应用程序创立子过程”规定。若您还没有应用 ASR 规定，可先在 Audit 模式下运行规定，并监督其后果，以确保不会对用户造成不利影响；
- 移除 ms-msdt 的文件类型关联，在 windows 注册表找到 HKCR:\ms-msdt 并删除该条目。当歹意文档被关上时，Office 将无奈调用 ms-msdt，从
而阻止恶意软件运行。留神在应用此缓解计划之前，请确保对注册表设置进行备份。