吳明宜
上週四微軟針對 Microsoft Office PowerPoint 一項零時差弱點發佈安全公告。
如果使用者接到一封郵件或一個連結而不慎下載並開啟一個假造的 PowerPoint 檔案，該弱點就可能予駭客可趁之機而由遠端執行程式碼。
「通常，這些檔案几可亂真，你很容易上當，甚至無法發現有惡意程式在背景執行，」微軟安全工程師 Christian Craioveanu 與專案經理 Ziv Mador 在部格中指出。
而微軟安全回應中心工程師 Bruce Dang 和 Jonathan Ness 則提供進一步詳情。
「我們蒐集到的程式樣本是影響 Office 2003 SP3 之中最穩定的攻擊程式。（2007 年 9 月公佈）Office 2003 相當安全，但我們把 Office 12 fuzzing 測試中做好的修補程式移植回 (back-porting) Office 2003 SP3 時，忽略了這項瑕疵。 SP3 安全性已大幅強化，我們建議所有 Office 2003 用戶儘快下載修補程式。」
fuzzing 是一種軟體測試方法，過程中要用一些隨機資料來餵應用程式，使它們當掉或發生其他問題。
Dang 和 Ness 解釋，XML 格式的 PowerPoint 檔案並不會受到影響。而轉移到 PowerPoint 最新 XML 格式—PPTX—的用戶則可利用安全公告提供的 FileBlock registry 設定來關閉受影響的二進位檔案格式。
另一個方法是強迫在 MOICE (Microsoft Isolated Conversion Environment) 中開啟較舊的 PowerPoint 檔案，此一安全功能可將多種 Microsoft Office 二進位檔案格式轉換成 Office Open XML 格式。