CVE-2016-0137

Описание

Уязвимость в области раскрытия информации заключается в том, как компоненты Click-to-Run (C2R) обрабатывают объекты в памяти, что может привести к обходу механизма случайного расположения адресного пространства (ASLR).

Детали уязвимости

Злоумышленник, успешно использовавший Уязвимость утечки информации, может использовать полученную информацию для обхода механизма безопасности ASLR в Windows, который помогает защищать пользователей от широкого класса уязвимостей. Обход ASLR сам по себе не позволяет выполнить произвольный код; однако злоумышленник может использовать обход ASLR в сочетании с другой уязвимостью, такой как уязвимость удаленного выполнения кода, которая могла бы использовать обход ASLR для запуска произвольного кода.

Способ эксплуатации

Чтобы воспользоваться обходом ASLR, злоумышленнику необходимо зайти на уязвимую систему и запустить специально подготовленное приложение. Рабочие станции в основном подвержены потенциальному обходу ASLR.
Обновление безопасности решает проблему обхода ASLR, исправляя способ обработки адресов памяти компонентами C2R.

Часто задаваемые вопросы (FAQ)

1. Это обновление безопасности предназначено только для версии Click-to-Run (C2R).
   Для получения дополнительной информации и текущего номера версии Click-to-Run, смотрите выпуски обновлений клиента Office 365.

2. Мне предлагают это обновление для программного обеспечения, которое не указано как подверженное в таблице Пострадавшие продукты. Почему мне предлагается это обновление?

   Когда обновления касаются уязвимого кода, который существует в компоненте, разделяемом между несколькими продуктами Microsoft Office или несколькими версиями одного и того же продукта Microsoft Office, обновление считается применимым ко всем поддерживаемым продуктам и версиям, содержащим уязвимый компонент.

   Например, когда обновление применяется к продуктам Microsoft Office 2007, только Microsoft Office 2007 может быть специально указано в таблице Пострадавшие продукты. Однако обновление может применяться к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer или любому другому продукту Microsoft Office 2007, который не указан в таблице Пострадавшие продукты. Более того, когда обновление применяется к продуктам Microsoft Office 2010, только Microsoft Office 2010 может быть специально указано в таблице Пострадавшие продукты. Но обновление может также применяться к Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer или к любому другому продукту Microsoft Office 2010, который не указан в таблице Пострадавшие продукты.

   Для получения дополнительной информации об этом поведении и рекомендуемых действиях смотрите Статью базы знаний Microsoft 830335. Список продуктов Microsoft Office, к которым может применяться обновление, можно найти в статье базы знаний Microsoft, связанной с конкретным обновлением.