科学研究工作人员发现Windows MSHTML 0day漏洞运用，微软公司公布防范措施。
近日，好几个安全性科研工作人员向微软公司各自汇报了MSHTML中的一个0 day远程控制执行命令漏洞。并发现了该漏洞的在野运用攻击主题活动。
MSHTML是Windows中用于3D渲染web页面的手机软件部件。尽管关键与IE有关，但也用以别的版本，包含Skype、Outlook、Visual Studio等。
CVE-2021-40444
科学研究员工在MSHTML中发现的0 day漏洞CVE识别码为CVE-2021-40444，cvss得分为8.8分。因为MSHTML 是IE的核心内容之一，该漏洞也出现于IE游览器中。攻击取决于受害人开启一个故意office文档时，MSHTML载入一个用心仿冒的ActiveX控件。载入的ActiveX 控件可以运作任何编码来感柒系统软件。因此攻击者必须引诱受害人开启故意文本文档。因为沒有公布补丁包，有关漏洞的大量关键技术并未公布。
修补对策
现阶段，全部适用的Windows版本都遭受该漏洞的危害，并且微软公司发现有益于该漏洞的在野攻击，但现在都还没补丁包，因而微软公司明确提出多种多样方式 来阻拦有关的攻击主题活动。
◼根据注册表文件禁止使用全部ActiveX 控件的安裝。以前组装的ActiveX 控件依然可以运作，可是不容易再新增加控件。禁止使用ActiveX 控件的方法如下所示，拷贝一下內容到文本文档中，并保留为.reg文件拓展：
- 双击鼠标.reg文件并运用到对策库文件;
- 重新启动系统软件来保证新配备起效。
◼从IE维护主视图或office运用维护作用打开文档，这二种方法全是默认，且都能够防止该攻击，但默认很有可能被调整了。
文中翻譯自:https://blog.malwarebytes.com/exploits-and-vulnerabilities/2021/09/windows-mshtml-zero-day-actively-exploited-mitigations-required/倘若转截，请标明全文详细地址。