BDU:2023-00594

Опубликовано: 05 нояб. 2013

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость компонента Windows GDI системы обмена сообщениями Microsoft Lync, пакета программ Microsoft Office и операционной системы Windows связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданного TIFF файла

Вендор

Microsoft Corp

Наименование ПО

Windows Vista Service Pack 2

Windows Server 2008 Service Pack 2

Microsoft Lync Server

Microsoft Office 2007 Service Pack 3

Microsoft Office 2003 Service Pack 3

Microsoft Office 2010 Service Pack 2

Microsoft Office 2010 Service Pack 1

Версия ПО

- (Windows Vista Service Pack 2)

- (Windows Server 2008 Service Pack 2)

2010 (x64) (Microsoft Lync Server)

2010 Attendee (admin level install) (Microsoft Lync Server)

2013 (x64) (Microsoft Lync Server)

2013 Basic (x64) (Microsoft Lync Server)

- (Microsoft Office 2007 Service Pack 3)

- (Microsoft Office 2003 Service Pack 3)

- (Microsoft Office 2010 Service Pack 2)

- (Windows Server 2008 Service Pack 2)

- (Windows Vista Service Pack 2)

- (Microsoft Office 2010 Service Pack 1)

- (Microsoft Office 2010 Service Pack 2)

- (Windows Server 2008 Service Pack 2)

2010 (x86) (Microsoft Lync Server)

2013 Basic (x86) (Microsoft Lync Server)

2013 (x86) (Microsoft Lync Server)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Microsoft Corp Windows Vista Service Pack 2 -

Microsoft Corp Windows Server 2008 Service Pack 2 -

Microsoft Corp Windows Vista Service Pack 2 -

Microsoft Corp Windows Server 2008 Service Pack 2 -

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

https://nvd.nist.gov/vuln/detail/CVE-2013-3906

http://blogs.mcafee.com/mcafee-labs/mcafee-labs-detects-zero-day-exploit-targeting-microsoft-office-2 Exploit

http://blogs.technet.com/b/srd/archive/2013/11/05/cve-2013-3906-a-graphics-vulnerability-exploited-through-word-documents.aspx

http://technet.microsoft.com/security/advisory/2896666

http://www.exploit-db.com/exploits/30011

https://docs.microsoft.com/en-us/security-updates/securitybulletins/2013/ms13-096

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-3906
CVE

EPSS

Процентиль: 100%

0.9254

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2013-3906

CVSS3: 7.8

nvd

больше 12 лет назад

GDI+ in Microsoft Windows Vista SP2 and Server 2008 SP2; Office 2003 SP3, 2007 SP3, and 2010 SP1 and SP2; Office Compatibility Pack SP3; and Lync 2010, 2010 Attendee, 2013, and Basic 2013 allows remote attackers to execute arbitrary code via a crafted TIFF image, as demonstrated by an image in a Word document, and exploited in the wild in October and November 2013.

GHSA-7mhx-7529-p5jc

CVSS3: 7.8

github

больше 3 лет назад

EPSS

Процентиль: 100%

0.9254

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2