The Microsoft Office Products are missing security updates. They are, therefore, affected by multiple vulnerabilities:

  - An information disclosure vulnerability exists when Exchange allows creation of entities with Display Names having     non-printable characters. An authenticated attacker could exploit this vulnerability by creating entities with     invalid display names, which, when added to conversations, remain invisible. (CVE-2019-1084)

  - A spoofing vulnerability exists when Microsoft Office Javascript does not check the validity of the web page making     a request to Office documents. An attacker who successfully exploited this vulnerability could read or write     information in Office documents. (CVE-2019-1109)

  - A remote code execution vulnerability exists in Microsoft Excel software when the software fails to properly handle     objects in memory. An attacker who successfully exploited the vulnerability could run arbitrary code in the context     of the current user. If the current user is logged on with administrative user rights, an attacker could take     control of the affected system. An attacker could then install programs; view, change, or delete data; or create     new accounts with full user rights. Users whose accounts are configured to have fewer user rights on the system     could be less impacted than users who operate with administrative user rights. Exploitation of the vulnerability     requires that a user open a specially crafted file with an affected version of Microsoft Excel. In an email attack     scenario, an attacker could exploit the vulnerability by sending the specially crafted file to the user and     convincing the user to open the file. In a web-based attack scenario, an attacker could host a website (or leverage     a compromised website that accepts or hosts user-provided content) containing a specially crafted file designed to     exploit the vulnerability. An attacker would have no way to force users to visit the website. Instead, an attacker     would have to convince users to click a link, typically by way of an enticement in an email or instant message, and     then convince them to open the specially crafted file.(CVE-2019-1111)    

  - An information disclosure vulnerability exists when Microsoft Excel improperly discloses the contents of its memory.
    An attacker who exploited the vulnerability could use the information to compromise the user’s computer or data.
    To exploit the vulnerability, an attacker could craft a special document file and then convince the user to open it.
    An attacker must know the memory address location where the object was created. (CVE-2019-1112)     The update addresses the vulnerability by changing the way certain Excel functions handle objects in memory.

On some Intel processors utilizing speculative execution a local process may be able to infer stale information from microarchitectural buffers to obtain a memory disclosure. Impact : An attacker may be able to read secret data from the kernel or from a process when executing untrusted code (for example, in a web browser).

投機的実行を利用する一部のIntelプロセッサでは、ローカルプロセスがマイクロアーキテクチャバッファから古い情報を推測して、メモリ漏洩を取得する可能性があります。影響：攻撃者が、信頼できないコードを実行する際（Webブラウザの中でなど）、カーネルから、またはプロセスから秘密データを読み取る可能性があります。

Microsoft Office製品にセキュリティ更新プログラムが入っていません。したがって、これらは複数の脆弱性の影響を受けます：- Exchangeが表示名に印刷不可能な文字を含むエンティティの作成を許可したとき、情報漏えいの脆弱性があります。認証された攻撃者が無効な表示名を持つエンティティを作成することによってこの脆弱性を悪用する可能性があります。このエンティティは会話に追加されたときには表示されません。（CVE-2019-1084）- Microsoft Office JavascriptがOfficeドキュメントへのリクエストを行っているWebページの正当性をチェックしないとき、なりすましの脆弱性があります。この脆弱性の悪用に成功した攻撃者が、Officeドキュメントの情報を読み書きする可能性があります。（(CVE-2019-1109）- ソフトウェアがメモリ内のオブジェクトを不適切に処理するとき、リモートでコードが実行される脆弱性がMicrosoft Excelソフトウェアにあります。脆弱性の悪用に成功した攻撃者が、現在のユーザーのコンテキストで任意のコードを実行する可能性があります。現在のユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。攻撃者が、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。システムで、ユーザー権限の設定がより制限されたアカウントを持つユーザーは、管理者ユーザー権限で操作を行うユーザーよりも、受ける影響が少なくなる可能性があります。この脆弱性を悪用するには、ユーザーが、影響を受けるバージョンのMicrosoft Excelで特別に細工されたファイルを開く必要があります。電子メールによる攻撃のシナリオでは、攻撃者がこの脆弱性を悪用して、特別に細工したファイルをユーザーに送信し、そのファイルを開かせる可能性があります。Webベースの攻撃シナリオでは、攻撃者が、この脆弱性を悪用する目的で特別に細工されたファイルを含むWebサイトをホストする（もしくは、ユーザーが提供するコンテンツを受け入れるかホストする改ざんされたWebサイトを悪用する）可能性があります。攻撃者はユーザーにそのWebサイトの閲覧を強制することはできません。代わりに、攻撃者はユーザーが攻撃者のWebサイトを閲覧するように電子メールまたはインスタントメッセージのリンクをクリックさせるか、電子メールで送信された添付ファイルを開くよう誘導します。（CVE-2019-1111）

Microsoft Office 製品に、セキュリティ更新プログラムがありません。したがって、複数の脆弱性による影響を受けます。

  - Exchangeが表示名に印刷不可能な文字を含むエンティティの作成を許可したとき、情報漏えいの脆弱性があります。認証された攻撃者が無効な表示名を持つエンティティを作成することによってこの脆弱性を悪用する可能性があります。このエンティティは会話に追加されたときには表示されません。(CVE-2019-1084)

  - Microsoft Office Javascript が Office ドキュメントへのリクエストを行っている Web ページの正当性をチェックしないとき、なりすましの脆弱性があります。この脆弱性の悪用に成功した攻撃者が、Office ドキュメントの情報を読み書きする可能性があります。(CVE-2019-1109)

  - Microsoft Excelソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、現行ユーザーのコンテキストで任意のコードを実行する可能性があります。現行ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。攻撃者が、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。システムで、ユーザー権限の設定がより制限されたアカウントを持つユーザーは、管理者ユーザー権限で操作を行うユーザーよりも、受ける影響が少なくなる可能性があります。この脆弱性を悪用するには、ユーザーが、影響を受けるバージョンのMicrosoft Excelで特別に細工されたファイルを開く必要があります。電子メールによる攻撃のシナリオでは、攻撃者がこの脆弱性を悪用して、特別に細工したファイルをユーザーに送信し、そのファイルを開かせる可能性があります。Webベースの攻撃シナリオでは、攻撃者が、この脆弱性を悪用する目的で特別に細工されたファイルを含むWebサイトをホストする（もしくは、ユーザーが提供するコンテンツを受け入れるかホストする改ざんされたWebサイトを悪用する）可能性があります。攻撃者はユーザーにそのWebサイトの閲覧を強制することはできません。代わりに、攻撃者はユーザーが攻撃者のWebサイトを閲覧するように電子メールまたはインスタントメッセージのリンクをクリックさせるか、電子メールで送信された添付ファイルを開くよう誘導します。（CVE-2019-1111）    

  - Microsoft Excelがメモリの内容を不適切に開示する際、情報漏洩の脆弱性が存在します。
    この脆弱性を悪用した攻撃者が、この情報を使用してユーザーのコンピューターまたはデータを侵害する可能性があります。
    この脆弱性を悪用するために、攻撃者が特別に細工されたドキュメントファイルを作成し、ユーザーにそのファイルを開くように誘導する可能性があります。
    攻撃者は、オブジェクトが作成されたメモリアドレスの場所を知っている必要があります。(CVE-2019-1112) この更新プログラムは、特定の Excel 関数がメモリでオブジェクトを処理する方法を変更することにより、この脆弱性に対処します。

Microsoft Office 产品缺少安全更新。因而会受到多个漏洞的影响：- Exchange 允许以具有非打印字符的“显示名称”创建实体时，存在一个信息泄露漏洞。经身份验证的攻击者通过以无效的显示名称创建实体（新增至对话时仍维持隐藏状态），进而恶意利用此漏洞。(CVE-2019-1084) - Microsoft Office Javascript 未检查向 Office 文档提出请求之网页的有效性时，存在一个伪造漏洞。成功利用此漏洞的攻击者可读取或写入 Office 文档中的信息。(CVE-2019-1109) - Microsoft Excel 软件未正确处理内存对象时，存在远程代码执行漏洞。成功利用此漏洞的攻击者可在当前用户环境中运行任意代码。如果当前用户使用管理用户权限进行登录，攻击者可控制受影响系统。然后，攻击者可安装程序、查看/更改/删除数据或创建具有完全用户权限的新帐户。其帐户被配置为具备较少系统权限的用户，将比以采用特权帐户进行操作的用户所受的影响更小。利用此漏洞需要用户使用受影响的 Microsoft Excel 版本打开特制文件。在电子邮件攻击场景中，攻击者可通过向用户发送特制文件和诱使用户打开该文件以利用此漏洞。在基于 Web 的攻击场景中，攻击者可拥有一个网站（或利用一个接受或托管用户提供内容的受损网站），其中含有专为利用此漏洞而特制文件。攻击者无法迫使用户访问该网站。相反，攻击者会诱使用户单击链接，通常是通过电子邮件或即时消息中的诱饵，然后诱使其打开特制文件。(CVE-2019-1111)

Microsoft Office 产品缺少安全更新。因此受到多个漏洞影响：

  - Exchange 允许使用包含非打印字符的“显示名称”创建实体时，存在信息泄露漏洞。经身份验证的攻击者可创建包含无效显示名称的实体（新增至对话时仍维持隐藏状态），进而利用此漏洞。(CVE-2019-1084)

  - Microsoft Office Javascript 若未检查向 Office 文档提出请求之网页的有效性，就会产生伪造漏洞。攻击者若成功利用此漏洞，即可在 Office 文档中读取或写入信息。(CVE-2019-1109)

  - Microsoft Excel 软件未正确处理内存中对象时，其中存在远程代码执行漏洞。成功利用此漏洞的攻击者可在当前用户环境中运行任意代码。如果当前用户使用管理用户权限登录，攻击者可控制受影响的系统。然后，攻击者可安装程序，查看、更改或删除数据，或者创建拥有完全用户权限的新帐户。与使用管理用户权限进行操作的用户相比，帐户被配置为具备较少系统权限的用户所受的影响更小。利用此漏洞需要用户使用受影响的 Microsoft Excel 版本打开特制文件。在电子邮件攻击场景中，攻击者可通过向用户发送特制的文件并诱使用户打开该文件来利用此漏洞。在基于 Web 的攻击场景中，攻击者可拥有一个网站（或利用一个接受或托管用户提供内容的受损网站），其中含有专为利用此漏洞而特制文件。攻击者无法迫使用户访问该网站。相反，攻击者会诱使用户单击链接，通常是通过电子邮件或即时消息中的诱饵，然后诱使其打开特制文件。(CVE-2019-1111)    

  - Microsoft Excel 未正确披露内存内容时，存在信息泄露漏洞。
    利用此漏洞的攻击者能使用此信息危害用户计算机或数据。
    若要利用此漏洞，攻击者可以构建一个特别的文档文件并诱使用户将其打开。
    攻击者必须知道创建对象时的内存地址位置。(CVE-2019-1112) 此更新通过更改某些 Excel 函数处理内存中对象的方式来解决此漏洞。

Microsoft Office 產品缺少安全性更新。因此它們會受到多個弱點影響：- Exchange 允許以具有無法列印字元的「顯示名稱」建立實體時，存在一個資訊洩漏弱點。經驗證的攻擊者能以無效的顯示名稱建立實體 (新增至對話時仍維持隱藏狀態)，進而惡意利用此弱點。(CVE-2019-1084) - Microsoft Office Javascript 未檢查向 Office 文件提出要求驗證網頁的有效性時，存在一個偽造弱點。若惡意利用此弱點得逞，攻擊者即可讀取或寫入 Office 文件中的資訊。(CVE-2019-1109) - 當 Microsoft Excel 軟體無法正確處理記憶體中的物件時，該軟體中存在一個遠端程式碼執行弱點。成功利用該弱點的攻擊者可在目前使用者的內容中執行任意程式碼。如果目前使用者以管理使用者權限登入，則攻擊者可以控制受影響的系統。攻擊者接下來可以安裝程式、檢視/變更/刪除資料，或是建立具有完整使用者權限的新帳號。系統上帳戶使用者權限較低的使用者，其受影響的程度比擁有系統管理權限的使用者要小。弱點的惡意利用需要使用者以受影響的 Microsoft Excel 軟體版本開啟特製的檔案。在電子郵件攻擊情境中，攻擊者可以將特製檔案傳送給使用者並且誘騙使用者開啟檔案，藉以惡意利用弱點。在網頁型攻擊情境中，攻擊者可以託管含有專門設計用來惡意利用弱點之特製檔案的網站 (或是利用可接受或是託管使用者提供內容的遭駭網站)。攻擊者沒有辦法強迫使用者造訪網站。相反，攻擊者必須誘騙使用者點按連結，所用方式通常是在電子郵件或是即時訊息中置入引誘內容，然後誘騙他們開啟特製檔案。(CVE-2019-1111)

Microsoft Office 產品缺少安全性更新。因此，其會受到多個弱點影響：

  - Exchange 允許以具有無法列印字元的「顯示名稱」建立實體時，存在一個資訊洩漏弱點。經驗證的攻擊者可以建立包含無效顯示名稱的實體 (新增至對話時仍維持隱藏狀態)，進而利用此弱點。(CVE-2019-1084)

  - Microsoft Office Javascript 未檢查向 Office 文件提出要求之網頁的有效性時，會引發偽造弱點。攻擊者若成功利用此弱點，即可在 Office 文件中讀取或寫入資訊。(CVE-2019-1109)

  - 當 Microsoft Excel 軟體無法正確處理記憶體中的物件時，該軟體中存在遠端程式碼執行弱點。成功利用此弱點的攻擊者可在目前使用者的內容中執行任意程式碼。如果目前使用者以管理使用者權限登入，則攻擊者可以控制受影響的系統。攻擊者接下來可以安裝程式、檢視/變更/刪除資料，或是建立具有完整使用者權限的新帳號。系統上帳戶使用者權限較低的使用者，其受影響的程度比擁有系統管理權限的使用者要小。弱點的惡意利用需要使用者以受影響的 Microsoft Excel 軟體版本開啟特製的檔案。在電子郵件攻擊情境中，攻擊者可以將特製檔案傳送給使用者並且誘騙使用者開啟檔案，藉以惡意利用弱點。在網頁型攻擊情境中，攻擊者可以託管含有專門設計用來惡意利用弱點之特製檔案的網站 (或是利用可接受或是託管使用者提供內容的遭駭網站)。攻擊者沒有辦法強迫使用者造訪網站。相反，攻擊者必須誘騙使用者點按連結，所用方式通常是在電子郵件或是即時訊息中置入引誘內容，然後誘騙他們開啟特製檔案。(CVE-2019-1111)    

  - 當 Microsoft Excel 不當洩漏其記憶體的內容時，存在資訊洩漏弱點。
    惡意利用該弱點的攻擊者可以使用這些資訊危害使用者電腦或是資料。
    若要加以惡意利用，攻擊者可偽造特製文件檔案，然後誘騙使用者加以開啟。
    攻擊者必須知道建立物件時的記憶體位址位置。(CVE-2019-1112) 此更新透過變更特定 Excel 函式處理記憶體中物件的方式解決了此弱點。

ID	Name	Product	Family	Published	Updated	Severity
126583	Security Updates for Microsoft Office Products (July 2019)	Nessus	Windows : Microsoft Bulletins	7/9/2019	6/10/2022	critical
127550	FreeBSD : FreeBSD -- Microarchitectural Data Sampling (MDS) (a633651b-b309-11e9-a87f-a4badb2f4699)	Nessus	FreeBSD Local Security Checks	8/12/2019	5/7/2024	critical
127550	FreeBSD：FreeBSD -- Microarchitectural Data Sampling（MDS）（a633651b-b309-11e9-a87f-a4badb2f4699）	Nessus	FreeBSD Local Security Checks	8/12/2019	5/7/2024	critical
126583	Microsoft Office製品のセキュリティ更新プログラム（2019年7月）	Nessus	Windows : Microsoft Bulletins	7/9/2019	6/10/2022	critical
162078	Security Updates for Microsoft Office Products C2R (July 2019)	Nessus	Windows	6/10/2022	10/20/2023	critical
162078	Microsoft Office 製品 C2R のセキュリティ更新プログラム (2019 年 7 月)	Nessus	Windows	6/10/2022	10/20/2023	critical
126583	Microsoft Office 产品的安全更新（2019 年 7 月）	Nessus	Windows : Microsoft Bulletins	7/9/2019	6/10/2022	critical
162078	Microsoft Office 产品 C2R 的安全更新（2019 年 7 月）	Nessus	Windows	6/10/2022	10/20/2023	critical
126583	Microsoft Office 產品的安全性更新 (2019 年 7 月)	Nessus	Windows : Microsoft Bulletins	7/9/2019	6/10/2022	critical
162078	Microsoft Office 產品 C2R 的安全性更新 (2019 年 7 月)	Nessus	Windows	6/10/2022	10/20/2023	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical