Эксперты предупредили о незакрытой уязвимости в Windows
Новости Безопасность
Эксперты Zero Day Initiative (ZDI) раскрыли подробности уязвимости в движке СУБД Microsoft JET, которая может привести к удаленному выполнению кода. По словам обнаруживших эту уязвимость исследователей, компания Microsoft не смогла выпустить патч за предоставленные ей 120 дней, сообщает Threatpost. При этом, как отмечают эксперты, основная масса ИБ-исследователей дает на эту задачу только 90 дней.
Брешь относится к типу out-of-bounds write — запись за пределами выделенной области памяти. Злоумышленник может воспользоваться ею, отправив жертве специально созданный вредоносный файл базы данных в формате JET. Если пользователь откроет этот файл через интерфейс OLE DB, взломщик сможет выполнять в системе код на уровне текущего процесса.
Еще один способ провести атаку через эту брешь — заставить жертву перейти на веб-страницу с вредоносным JavaScript-скриптом, который, в свою очередь, откроет JET-файл.
Исследователи выложили на GitHub PoC-код для эксплуатации этой уязвимости. Они протестировали его в Windows 7, однако считают, что баг актуален и для других поддерживаемых версий операционной системы, в том числе для линейки Windows Server. Отмечается, что PoC рассчитан на 32-битную среду, однако может сработать и в 64-битной, если, например, Internet Explorer задействует для отображения сайтов 32-битные процессы.
Эксперты рекомендуют пользователям быть внимательными и не открывать файлы из сомнительных источников. На данный момент это единственный способ защититься от атаки.
Как сообщают специалисты, они обнаружили уязвимость еще в мае этого года и сразу сообщили о ней вендору. В Microsoft подтвердили наличие уязвимости, однако в 120 дней, которые ZDI традиционно выделяет разработчикам на исправление багов, компания уложиться не смогла.
В настоящий момент Microsoft все еще работает над патчем для этой уязвимости и с некоторой вероятностью сможет выпустить его в октябре (релиз очередного ежемесячного обновления безопасности для Windows состоится 9 октября, в традиционный "вторник патчей").
28.04.2025 16:46
Для дропперов введут уголовную ответственность
Правительство РФ подготовило поправки в ст. 187 Уголовного кодекса («Неправомерный оборот средств платежей»), которыми будет введена уголовная ответственность для так называемых дропперов
|
07.04.2019 19:42
Как увидеть скрытых друзей во «ВКонтакте»
Поскольку многие пользователи «ВКонтакте» искренне верят, что существует способ увидеть чужих скрытых друзей, Софтодром решил этот миф опровергнуть
29.11.2017 23:52
Как защитить файл или папку паролем в Windows
Что делать, если вы используете компьютер под управлением Windows и вдруг решили защитить какой-либо файл или папку паролем, чтобы посторонние не могли узнать, что у вас там находится
|
|
Все рубрики статей (1728 / 223):
|
|
