セキュリティの専門家は、重大度が「中」のWindows脆弱性を発見しました。 これにより、リモートの攻撃者が任意のコードを実行でき、JScriptのエラーオブジェクトの処理内に存在します。 マイクロソフトは、バグのパッチをまだ公開していません。 Trend MicroのZero Day Initiative Groupは、この問題がTelespace SystemsのDmitri Kaslovによって発見されたことを明らかにしました。

この脆弱性は実際には悪用されていません

ZDIのディレクターであるBrian Gorencによると、この脆弱性が悪用されているという兆候はありません。 彼は、バグは攻撃の成功の一部に過ぎないと説明した。 彼は続けて、この脆弱性はサンドボックス環境でのコード実行を可能にし、攻撃者はサンドボックスをエスケープしてターゲットシステムでコードを実行するために、さらなるエクスプロイトを必要とすると述べました。

この欠陥により、リモートの攻撃者はWindowsインストールで任意のコードを実行できますが、ユーザーとの対話が必要であり、これにより事態はそれほど難しくなりません。 被害者は悪意のあるページにアクセスするか、システムで悪意のあるJScriptを実行できる悪意のあるファイルを開く必要があります。

グリッチはMicrosoftのECMAScript標準にあります

これは、Internet Explorerで使用されるJScriptコンポーネントです。 これは、スクリプトでアクションを実行することにより、攻撃者がポインターを解放した後に再利用するようトリガーする可能性があるため、問題が発生します。 このバグは、今年1月に最初にRedmondに送信されました。 今。 パッチなしで公開されています。 ZDIによると、この欠陥にはCVSSスコア6.8のラベルが付けられており、これは中程度の重大度を誇示していることを意味します。

Gorencによると、パッチはできるだけ早く提供される予定ですが、正確な日付は明らかにされていません。 したがって、次の火曜日のパッチに含まれるかどうかはわかりません。 利用可能な唯一のアドバイスは、ユーザーがアプリケーションとの対話を信頼できるファイルに制限することです。