下载后无需交互即可窃取信息，微软悄悄修复 Win10/11 .theme 主题文件漏洞 CVE-2024-21320

图片地址：https://img.ithome.com/newsuploadfiles/2024/3/09d80274-72aa-4c31-80a7-3cff38d13834.png?x-bce-process=image/watermark,image_aW1nL3dhdGVybWFyay9xYy9xYzIyMi5wbmc=,t_100,g_3,y_22,x_22,a_0/format,f_auto

IT之家 3 月 9 日消息，安全机构 Akamai 日前公布了微软 Win 10/11 主题系统中一项名为 CVE-2024-21320 的漏洞，该漏洞 CVSS 评分为 6.5，允许黑客使用特制的 .theme 主题文件远程执行代码。据介绍，微软 Windows 资源管理器会默认预加载 .theme 主题的缩略文件，因此给予了黑客可乘之机，当黑客只需要将相关主题缩略文件参数指向恶意地址，Windows 资源管理器便会在加载缩略文件时连接黑客指定的远程 UNC 路径，进而远程执行代码。▲ 图源 Akamai 安全报告（下同）IT之家注意到，微软已经在 2024 年 1 月份的 Windows 10/1