研究人员已经发现了一种可能被黑客利用发起网络攻击的方法——利用Microsoft Word Online Video功能中的漏洞，攻击者可以通过它使用恶意代码替换视频的iFrame代码，从而进行网络钓鱼攻击。

Cymulate的研究人员发现了这个漏洞及其利用方式，并公布了调查结果和相关技术报告。

当用户通过“在线视频”功能导入视频时，就会发现这个Bug。它位于.xml文件中，其中名为embeddedHtml的参数引用YouTube iframe代码。黑客可以用IE浏览器提供的恶意html /JavaScript代码替换当前的YouTube iframe代码。他们还分享了一段视频，展示了这一漏洞。

（附视频网址：https://blog.cymulate.com/abusing-microsoft-office-online-video）

利用此漏洞可能会触发网络钓鱼攻击

如研究人员所证明，攻击者很容易修改Word文档中导入的任何YouTube视频的代码。他们只需编辑“document.xml”文件并将视频链接替换为恶意有效负载。他们担心攻击者可能利用这种技术实施网络钓鱼攻击。虽然今天大多数互联网用户都知道忽略电子邮件形式的网络钓鱼。然而，新陷阱层出不穷，现在攻击者可能会欺骗他们在Word文件中导入恶意视频链接。

攻击者可以将之用于网络钓鱼等恶意目的，因为文件将显示导入的在线视频并链接到YouTube，同时隐藏的html/javascript代码将在后台运行，可能导致代码进一步执行。通过这个技巧，目标用户可能不会产生任何怀疑，因为用导入的视频打开文档不会生成警告。该漏洞影响了Microsoft Office 2016和所有早期版本。

漏洞尚未被正式记录

参考外媒报道，Cymulate在三个月前就报告了微软的漏洞。但该漏洞尚未达到登记标准。根据研究人员的建议，目前缓解Bug的唯一方法是：不打开任何带有导入视频链接的Word文档。