漏洞预警：WPS Office 任意代码执行漏洞*2

WPS Office

WPS Office是目前国内主流的办公软件之一，其用户群超过2亿，更是信创名单中唯一的办公软件，目前已被发现包含两个可能使用户遭受远程代码执行攻击的高危漏洞。这些漏洞被标识为CVE-2024-7262 和 CVE-2024-7263，其 CVSS 评分为 9.3，表明其严重性和被利用的可能性很高。

漏洞简介：

Windows 上 Kingsoft WPS Office 版本 12.2.0.13110 至 12.2.0.13489（含）中的 promecefpluginhost.exe 路径验证不当，允许攻击者加载任意 Windows 库。该漏洞被发现以欺骗性电子表格文档的形式被利用为单击漏洞

漏洞分析

这些漏洞是在WPS Office的promecefpluginhost.exe组件中发现的，特别是在CVE-2024-7262的12.2.0.13110到12.2.0.13489以及 CVE-2024-7263的12.2.0.13110到12.2.0.17153的版本中。这两个漏洞都源于不正确的路径验证，允许攻击者加载和执行任意 Windows 库。

CVE-2024-7262：该漏洞在于promecefpluginhost.exe进程如何验证文件路径，使攻击者能够仅通过诱骗用户打开欺骗性电子表格文档来加载恶意 Windows 库。这种单击式漏洞可能允许攻击者在受害者的计算机上执行任意代码，从而可能导致数据窃取、勒索软件或进一步的系统入侵。

CVE-2024-7263：为了解决CVE-2024-7262问题，金山软件发布了一个版本为12.2.0.16909的补丁。然而，研究人员很快发现，这个补丁是不够的。CVE-2024-7263能够影响低于12.2.0.17153的版本，它利用了原始修复中忽略的额外未正确审查的参数。这种疏忽允许攻击者再次加载任意的 Windows 库，绕过WPS的初始安全措施。

影响版本：

漏洞影响:

此漏洞的严重程度为严重，CVSS v4 基本评分为 9.3。影响非常严重，因为它允许攻击者以运行应用程序的用户的权限执行任意代码。这可能导致系统的机密性、完整性和可用性完全受损。攻击媒介是本地的，复杂度低，只需要被动的用户交互（单击一次），因此相对容易利用。该漏洞会影响易受攻击的系统的机密性、完整性和可用性，均被评为高。此外，它还可能影响后续系统，具有高机密性、完整性和可用性风险，表明存在横向移动或进一步利用的可能性。

修复建议

目前没有证据表明存在公开的概念验证。包括 securityonline.info 在内的多个来源都报道了该漏洞的利用情况。截至提供的信息，尚未提及可用的补丁。该漏洞影响 Windows 上的金山 WPS Office 版本 12.2.0.13110 至 12.2.0.13489。用户和管理员应检查金山的更新，并在更新可用时立即应用。

临时措施

在补丁发布之前，请考虑以下缓解策略：1. 限制使用金山 WPS Office，尤其是 Windows 系统上的 12.2.0.13110 至 12.2.0.13489 版本。2. 实施严格的访问控制和最小特权原则，以限制潜在影响。3. 教育用户打开不受信任的文档或点击文档中的可疑链接的风险。4. 使用应用程序白名单来防止执行未经授权的库。5. 监控与 promecefpluginhost.exe 相关的可疑活动。6. 考虑使用其他办公套件软件，直到漏洞被修补。7. 实施网络分段，以限制系统受到威胁时的潜在传播。8. 定期备份重要数据，以减轻潜在的数据丢失。

• MISC:https://www.wps.com/whatsnew/pc/20240422/

• URL:https://www.wps.com/whatsnew/pc/20240422/

• https://feedly.com/cve/CVE-2024-7262

原文始发于微信公众号（亿人安全）：漏洞预警：WPS Office 任意代码执行漏洞*2