CVE-2016-3209

Описание

Уязвимость утечки информации существует в том, как интерфейс графических устройств Windows (GDI) обрабатывает объекты в памяти. Эта уязвимость позволяет злоумышленнику получать информацию из целевой системы.

Злоумышленник, успешно эксплуатировавший эту уязвимость, способен использовать полученную информацию для обхода механизма случайной расстановки адресов в пространстве (ASLR) в Windows, который защищает от широкого класса уязвимостей. В одиночку раскрытие информации не позволяет выполнять произвольный код; однако оно может позволить его выполнить, при условии что злоумышленник использует его в сочетании с другой уязвимостью, такой как уязвимость с удаленным выполнением кода, способной использовать обход ASLR.

Условия эксплуатации

Для эксплуатации этой уязвимости злоумышленник должен авторизоваться на затронутой системе и запустить специально созданное приложение.

Решение

Обновление безопасности устраняет уязвимость и помогает защитить целостность функции безопасности ASLR, корректируя способ, которым GDI обрабатывает адреса памяти.

Часто задаваемые вопросы (FAQ)

Я использую Office 2010, который указан как затронутое ПО. Почему мне не предлагается обновление?
Обновление не применимо к Office 2010 на Windows Vista и более поздних версиях Windows, поскольку уязвимый код отсутствует.

Мне предлагается это обновление для ПО, которое не указано как затронутое в таблице затронутого ПО и рейтингов серьезности уязвимости. Почему мне предлагается это обновление?
Когда обновления устраняют уязвимый код, существующий в компоненте, который используется несколькими продуктами Microsoft Office или несколькими версиями одного и того же продукта Microsoft Office, обновление считается применимым ко всем поддерживаемым продуктам и версиям, содержащим уязвимый компонент.

Например, когда обновление применяется к продуктам Microsoft Office 2007, в таблице затронутого ПО может быть указаны только Microsoft Office 2007. Однако обновление может быть применимо к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer или любому другому продукту Microsoft Office 2007, который не указан в таблице затронутого ПО. Более того, когда обновление применяется к продуктам Microsoft Office 2010, в таблице затронутого ПО может быть указаны только Microsoft Office 2010. Однако обновление может быть применимо к Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer или любому другому продукту Microsoft Office 2010, который не указан в таблице затронутого ПО.

Для получения дополнительной информации о данном поведении и рекомендуемых действиях смотрите Статью базы знаний Microsoft 830335. Чтобы узнать, к каким продуктам Microsoft Office может применяться обновление, обратитесь к соответствующей статье базы знаний Microsoft, связанной с конкретным обновлением.

Существуют ли какие-либо предварительные условия для установок обновлений, предлагаемых в этом бюллетене для затронутых редакций Microsoft Lync 2013 (Skype для бизнеса)?
Да. Клиенты, использующие затронутые редакции Microsoft Lync 2013 (Skype для бизнеса), должны сначала установить обновление 2965218 для Office 2013, выпущенное в апреле 2015 года, а затем обновление безопасности 3039779, выпущенное в мае 2015 года. Для получения дополнительной информации о этих двух предварительных обновлениях смотрите:

• Статья базы знаний 2965218
• Статья базы знаний 3039779

Существуют ли какие-либо связанные обновления, не относящиеся к безопасности, которые клиенты должны установить вместе с обновлением безопасности Microsoft Live Meeting Console?
Да, наряду с выпуском обновления безопасности для Microsoft Live Meeting Console, Microsoft выпустила следующие обновления, не относящиеся к безопасности, для OCS Conferencing Addin для Outlook. В случае необходимости Microsoft рекомендует клиентам устанавливать эти обновления, чтобы поддерживать свои системы в актуальном состоянии:

• OCS Conferencing Addin для Outlook (32-бит) (3189648)
• OCS Conferencing Addin для Outlook (64-бит) (3189648)

Смотрите Статью базы знаний Microsoft 3189648 для получения дополнительной информации.

Почему обновление для Lync 2010 Attendee (установка пользовательского уровня) доступно только из Центра загрузки Microsoft?
Microsoft выпускает обновление для Lync 2010 Attendee (установка пользовательского уровня) только в Центре загрузки Microsoft. Из-за того, что установка пользовательского уровня Lync 2010 Attendee осуществляется через сессию Lync, методы распространения, такие как автоматическое обновление, не являются уместными для этого типа сценария установки.