近日披露了两个现已修复的微软 Windows 安全漏洞，这些漏洞可被威胁者串联起来，在无需任何用户交互的情况下，在 Outlook 邮箱实现远程代码执行。
这两个漏洞分别是：
CVE-2023-35384（CVSS 评分：5.4） – Windows HTML 平台安全功能绕过漏洞
CVE-2023-36710（CVSS 评分：7.8） – Windows Media Foundation Core 远程代码执行漏洞
利用这两个漏洞，攻击者可以：窃取受害者的 NTLM 凭证
下载自定义声音文件，当使用 Outlook 的提醒声音功能自动播放时，该文件可能会导致受害者机器上的零点击代码执行
值得注意的是，CVE-2023-35384 也是继 CVE-2023-29324 之后第二个补丁绕过漏洞。漏洞的披露再次表明，网络攻击者仍在积极利用微软软件中的安全漏洞。组织应定期更新软件并采取安全措施，以保护其系统免受攻击。
