CVE-2009-0556：一个拒绝消逝的PowerPoint漏洞

CVE-2009-0556: The 2009 PowerPoint But that Refuses to Die

2009年的PowerPoint漏洞，至今仍不死

2009年，时任某中心恶意软件团队研究员的Ziv Mador和Cristian Craioveanu记录了一个影响特定版本Windows PowerPoint（Windows PowerPoint 2000 SP3、2002 SP3、2003 SP3以及某中心Office 2004 for Mac中的PowerPoint）的显著代码注入漏洞。

该漏洞，编号CVE-2009-0556，使远程攻击者能够通过一个包含无效索引值的PowerPoint文件利用内存损坏问题来执行任意代码。这个无效索引值存在于OutlinetextRefAtom记录中。

现在，让我们从其原始披露重新审视CVE-2009-0556，探究为何在近二十年后它再次变得相关，并分析其被列入“已知已利用漏洞”目录这一事件，揭示了当前企业安全状态、补丁管理状况和攻击者战术的哪些信息。

这个漏洞是在一个时代中被披露的众多问题之一，当时遗留的Windows组件、宽松的默认配置和有限的漏洞缓解措施在企业环境中普遍存在。该漏洞随后得到了修复；发布了安全公告，并提供了如何避免该漏洞的指导。之后，业界继续向前发展。

图1. 微软恶意软件保护中心的网页存档截图
来源：https://web.archive.org/web/20090406105859/blogs.technet.com/mmpc/archive/2009/04/02/new-0-day-exploits-using-powerpoint-files.aspx

致力于追踪和根除世界上最具有挑战性的威胁。

…或者看起来是这样。

图2. CISA-KEV目录中的CVE-2009-0556
来源：https://www.cisa.gov/known-exploited-vulnerabilities-catalog

时光飞逝，来到2026年，CVE-2009-0556在2026年1月7日被列入CISA已知已利用漏洞目录后，再次引起了高度关注。其被纳入该目录揭示了一个防御者无法忽视的关键现实：漏洞并不会仅仅因为年代久远而失去其相关性。当遗留系统、错误配置或向后兼容的组件持续存在时，旧的攻击同样会持续存在。

当遗留系统无法退役时，相关的风险必须通过严格的隔离来管理。这些系统应与企业网络隔离，且绝不暴露在公共互联网上，并在打补丁不再可行时，采取补偿性控制措施来降低其可利用性。
更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）