ZDI опубликовала детали просроченной бреши в Microsoft JET

Уязвимость позволяет удаленно выполнять произвольный код, но требует участия пользователя.

Эксперты Zero Day Initiative (ZDI) раскрыли подробности уязвимости в движке СУБД Microsoft JET, которая может привести к удаленному выполнению кода. По словам исследователей, производитель не смог выпустить патч за предоставленные ему 120 дней.

Брешь относится к типу out-of-bounds write — запись за пределами выделенной области памяти. Злоумышленник может воспользоваться ею, отправив жертве специально созданный вредоносный файл базы данных в формате JET. Если пользователь откроет этот файл через интерфейс OLE DB, взломщик сможет выполнять в системе код на уровне текущего процесса.

Еще один способ провести атаку через эту брешь — заставить жертву перейти на веб-страницу с вредоносным JavaScript-скриптом, который, в свою очередь, откроет JET-файл.

Исследователи выложили на GitHub PoC-код для эксплуатации уязвимости. Они протестировали его в Windows 7, однако считают, что баг актуален и для других поддерживаемых версий операционной системы, в том числе для линейки Windows Server. Отмечается, что PoC рассчитан на 32-битную среду, однако может сработать и в 64-битной, если, например, Internet Explorer задействует для отображения сайтов 32-битные процессы.

Эксперты рекомендуют пользователям быть внимательными и не открывать файлы из сомнительных источников. На данный момент это единственный способ защититься от атаки.

Как сообщают специалисты, уязвимость обнаружили еще в мае 2018 года и сразу сообщили о ней вендору. В Microsoft подтвердили наличие бреши, однако в 120 дней, которые ZDI традиционно выделяет разработчикам на исправление багов, компания уложиться не смогла. Стоит отметить, что основная масса ИБ-исследователей дает на эту задачу только 90 дней.

В настоящий момент Microsoft все еще работает над заплаткой и с некоторой вероятностью сможет выпустить ее в октябре. Ранее, в рамках сентябрьского вторника патчей, производитель закрыл другую уязвимость в движке JET, приводившую к удаленному выполнению кода в результате переполнения буфера. Успешная эксплуатация бага могла дать злоумышленнику полный контроль над уязвимым устройством.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля