网络安全预警

接有关方面通知，2021年9月8日，国家信息安全漏洞共享平台（CNVD）收录了Microsoft MSHTML远程代码执行漏洞（CNVD-2021-69088，对应CVE-2021-40444）。攻击者利用该漏洞，可在未授权的情况下远程执行代码。目前，漏洞利用细节已在小范围公开，微软公司暂未发布补丁修复该漏洞。CNVD建议受影响用户按照临时防范措施缓解漏洞攻击威胁。

一、漏洞情况分析

MSHTML（又称Trident）是微软Windows操作系统Internet Explorer（IE）浏览器的排版组件。软件开发人员使用该组件，可以在应用中快速实现网页浏览功能。MSHTML除应用于IE浏览器、IE内核浏览器外，还在Office的Word、Excel和PowerPoint文档中用来呈现Web托管内容。

9月7日，微软公司发布了针对Microsoft MSHTML远程代码执行漏洞的紧急安全公告。攻击者利用该漏洞，通过精心构造包含可被加载的恶意ActiveX控件的Microsoft Office文件，并诱导受害者打开文档，从而触发此漏洞。未经身份验证的攻击者利用该漏洞，可获得受害者的当前用户权限，以该用户权限执行任意代码。

CNVD对该漏洞的综合评级为“高危”。

二、漏洞处置建议

目前，微软公司暂未发布补丁程序修复该漏洞。CNVD建议受影响用户谨慎访问来源不明的Office文件或网页链接，具备一定专业知识的用户可通过更改注册表配置禁用ActiveX控件（建议操作前先做备份），并及时关注厂商的更新公告。

网络安全和信息化领导小组办公室

信息化建设管理处