CVE-2016-3360

Описание

Уязвимость удаленного выполнения кода существует в программном обеспечении Microsoft Office, когда Office некорректно обрабатывает объекты в памяти. Злоумышленник, успешно эксплуатировавший эту уязвимость, способен запустить произвольный код с правами текущего пользователя. Если текущий пользователь вошел в систему с правами администратора, злоумышленник способен захватить контроль над затронутой системой, устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя. Пользователи с ограниченными правами на системе подвержены меньшему риску по сравнению с пользователями, имеющими права администратора.

Условия эксплуатации

Эксплуатация уязвимости требует, чтобы пользователь открыл специально созданный файл в уязвимой версии Microsoft Office. В сценарии атаки по электронной почте злоумышленник способен использовать уязвимость, отправив специально созданный файл пользователю и убедив его открыть файл. В сценарии атаки через веб злоумышленник способен разместить специально созданный файл на веб-сайте (или использовать скомпрометированный сайт, принимающий или размещающий предоставленный пользователями контент), чтобы использовать уязвимость. Злоумышленник не способен заставить пользователя посетить веб-сайт; вместо этого ему нужно убедить пользователя кликнуть на ссылку, обычно при помощи заманивания в электронной почте или мгновенном сообщении, а затем убедить их открыть специально созданный файл.

Ограничения

Окно предпросмотра (Preview Pane) не является вектором атаки для данной уязвимости.

Решение

Обновление безопасности устраняет уязвимость, корректируя обработку объектов в памяти программного обеспечения Office.

Часто задаваемые вопросы (FAQ)

Почему мне предлагают это обновление для программного обеспечения, которое не указано как затронутое в таблице затронутого ПО и уровней серьезности уязвимостей?

Когда обновления устраняют уязвимый код, который существует в компоненте, используемом несколькими продуктами Microsoft Office или версиями одного продукта, обновление считается приложимым для всех поддерживаемых продуктов и версий, содержащих уязвимый компонент.

Например, если обновление применяется к продуктам Microsoft Office 2007, только Microsoft Office 2007 может быть явно указан в таблице затронутого ПО. Однако обновление способно применяться также к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer или любому другому продукту Microsoft Office 2007, который не указан явно в таблице затронутого ПО. Точно так же, если обновление применяется к продуктам Microsoft Office 2010, только Microsoft Office 2010 может быть указан явно. Однако обновление способно применяться также к Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer или любому другому продукту Microsoft Office 2010, который не указан явно в таблице затронутого ПО.

Для дополнительной информации по этому вопросу и рекомендуемым действиям см. Статью Базы Знаний Microsoft 830335. Для списка продуктов Microsoft Office, для которых может быть применено обновление, обратитесь к статье Базы Знаний Microsoft, связанной с конкретным обновлением.