Microsoft уведомила об уязвимости нулевого дня в Internet Explorer

Microsoft уведомила об уязвимости нулевого дня в Internet Explorer

Alexander Antipov

Уязвимость позволяет удаленно выполнить код на уязвимой системе.

image

В пятницу, 17 января, компания Microsoft выпустила уведомление безопасности, в котором представила способы обхода критической уязвимости в Internet Explorer, эксплуатируемой киберпреступниками в реальных атаках.

Согласно уведомлению, уязвимость (CVE-2020-0674) связана с тем, как скриптовый движок обрабатывает объекты в памяти браузера. «Уязвимость может вызвать повреждение памяти, что позволит атакующему выполнить произвольный код в контексте текущего пользователя», — сообщается в уведомлении.

Эксплуатация уязвимости позволит злоумышленнику получить на уязвимой системе те же привилегии, что и у авторизованного пользователя. Если авторизованный пользователь является администратором, атакующий получит полный контроль над системой – сможет устанавливать и деинсталлировать программы, осуществлять различные действия с данными и создавать учетные записи с полными правами пользователя.

Для проведения web-атаки злоумышленник должен создать особым образом сконфигурированный сайт, способный проэксплуатировать уязвимость, а затем заманить на него жертву, например, с помощью ссылки в электронном письме.

В настоящее время Microsoft работает над патчем, который может выйти вне запланированных обновлений, как в случае с сентябрьским патчем для уязвимости нулевого дня в Internet Explorer (CVE-2019-1367).

Подписывайтесь на каналы «SecurityLab» в TelegramTelegram и Яндекс.ДзенЯндекс.Дзен, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.

Источник: Securitylab