Microsoft устранила два опасных бага в Outlook

Февральский набор обновлений от Microsoft закрывает полсотни уязвимостей, в том числе 14 критических.

Февральский набор обновлений от Microsoft закрывает 50 уязвимостей, в том числе бреши в Windows, Office, Internet Explorer, Edge и JavaScript-движке ChakraCore. Четырнадцать уязвимостей оценены как критические, 34 — как опасные.

Две серьезные бреши были обнаружены в Outlook. Критическая уязвимость CVE-2018-0852 позволяет удаленно выполнить произвольный код. В результате автор атаки сможет захватить контроль над системой, если залогинившийся пользователь обладает правами администратора.

«Для эксплуатации уязвимости необходимо, чтобы пользователь открыл специально созданный файл с помощью уязвимой версии Microsoft Outlook», — сказано в бюллетене Microsoft. В случае успеха атакующий сможет выполнить произвольный код в контексте текущего пользователя.

«Хуже всего то, что вектором атаки является область предварительного просмотра Outlook, — отметили исследователи из ZDI в блоге. — Это означает, что спровоцировать исполнение кода может элементарный просмотр письма в этом поле. Атакуемому пользователю не нужно что-то открывать или кликать в письме — просто взглянуть на него в окне предпросмотра. Если появятся эксплойты для данного бага — а вирусописатели наверняка опробуют этот вектор атаки, — непропатченные системы обязательно пострадают».

ZDI также призывает пользователей незамедлительно установить патч для второй уязвимости в Outlook — CVE-2018-0850. Ее эксплойт осуществляется с помощью вредоносного сообщения, способного по получении сразу загрузиться в Outlook. «Именно так — не во время просмотра или предпросмотра, а по получении, — сказано в блог-записи ZDI. — Следовательно, автор атаки сможет осуществить эксплойт, просто отправив письмо».

Из остальных критических уязвимостей внимания заслуживает CVE-2018-0825, затрагивающая StructuredQuery в серверных и клиентских Windows. Атака в данном случае возможна по электронной почте или из веба — через вредоносный сайт.

Согласно Microsoft, автор атаки сможет захватить контроль над системой, если жертва вошла в нее под учетной записью администратора, и выполнять разные действия: устанавливать программы, манипулировать данными, создавать новых пользователей. «Этот патч должен быть первым в списке приоритетов», — заявил в блоге Qualys Джимми Грэм (Jimmy Graham), директор по управлению продукцией компании.

Microsoft также устранила более десятка уязвимостей в ядре Windows — преимущественно баги повышения привилегий и раскрытия информации. Некоторым из них присвоена степень угрозы 1, то есть в их случае эксплойт «более вероятен», согласно принятой в компании системе ранжирования.

«Хотя эти уязвимости нельзя эксплуатировать удаленно, автор атаки сможет их использовать для повышения привилегий в системе, скомпрометированной другими средствами, — пояснил для Threatpost Крис Гётль (Chris Goettl), менеджер по продуктам компании Ivanti. — Такие бреши зачастую используются в APT-атаках, когда злоумышленник медленно продвигается к намеченной цели, для достижения которой нужны дополнительные разрешения на доступ».

Шесть уязвимостей пропатчены в программах Office. Согласно бюллетеню Microsoft, брешь CVE-2018-0841 в Excel позволяет удаленно выполнить код из-за неправильной обработки объектов в памяти. Как и в случае с другими закрываемыми уязвимостями, успешный эксплойт открывает возможность для захвата контроля над системой, если пользователь вошел в нее как администратор.

«Этот пример наглядно показывает, почему управление привилегиями так важно, — комментирует Гётль. — Трудно отобрать у пользователя администраторские права, коль скоро они уже дадены, однако есть способы лишить полноценного администратора некоторых возможностей, чтобы снизить риски. Такие опции рекомендуется всегда иметь в виду».

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля