CVE-2016-3396

Описание

Уязвимость удаленного выполнения кода возникает, когда библиотека шрифтов Windows некорректно обрабатывает специально созданные встроенные шрифты. Злоумышленник, успешно эксплуатировавший уязвимость, способен получить контроль над затронутой системой. Затем он сможет устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя. Пользователи с ограниченными правами могут быть менее подвержены воздействию уязвимости, чем пользователи с правами администратора.

Условия эксплуатации

Имеются несколько способов, которыми злоумышленник способен воспользоваться уязвимостью:

1. Веб-атака Злоумышленник может разместить специально созданный веб-сайт, рассчитанный на эксплуатацию уязвимости, и убедить пользователя посетить его. Злоумышленник не может принудить пользователей перейти на этот сайт самостоятельно; вместо этого он должен убедить пользователя совершить действие, например, нажать на ссылку в электронном письме или мгновенном сообщении, которое ведет на сайт злоумышленника, или открыть вложение в письме.

2. Атака через передачу файлов Злоумышленник может предоставить специально созданный документ, рассчитанный на эксплуатацию уязвимости, и убедить пользователя открыть этот документ. Обновление безопасности устраняет уязвимость путем корректировки обработки встроенных шрифтов в библиотеке шрифтов Windows.

Решение

Обновление безопасности корректирует работу библиотеки шрифтов Windows, обеспечивая правильную обработку встроенных шрифтов. Для тех продуктов, где уровень критичности отверстия обозначен как "Критический", Окно предпросмотра является вектором атаки для этой уязвимости.

Часто задаваемые вопросы (FAQ)

Почему обновление не предоставляется для Office 2010, работающего на Windows Vista и более поздних версиях?

Обновление неприменимо к Office 2010 на Windows Vista и более поздних версиях, поскольку уязвимый код отсутствует.

Почему мне предлагается это обновление для программного обеспечения, которое не указано в таблице "Пораженное программное обеспечение и рейтинги степени опасности уязвимостей"?

Когда обновления касаются уязвимого кода, который присутствует в компоненте, используемом несколькими продуктами Microsoft Office или несколькими версиями одного и того же продукта, обновление считается применимым ко всем поддерживаемым продуктам и версиям, содержащим данный компонент.

Есть ли какие-либо предварительные требования для обновлений, предложенных в этом бюллетене для затронутых выпусков Microsoft Lync 2013 (Skype for Business)?

Да. Клиенты, использующие затронутые выпуски Microsoft Lync 2013 (Skype for Business), должны сначала установить обновление 2965218 для Office 2013, выпущенное в апреле 2015 года, а затем обновление безопасности 3039779, выпущенное в мае 2015 года. Больше информации о предварительных обновлениях можно найти в следующих статьях:

• Knowledge Base Article 2965218
• Knowledge Base Article 3039779

Есть ли связанные с безопасностью обновления, которые должны быть установлены вместе с обновлением безопасности для консоли Microsoft Live Meeting?

Да, помимо выпуска обновления безопасности для консоли Microsoft Live Meeting, Microsoft выпустила следующие обновления, не связанные с безопасностью, для дополнения OCS Conferencing для Outlook. Microsoft рекомендует установить эти обновления для поддержания систем в актуальном состоянии:

• OCS Conferencing Addin для Outlook (32-разрядная) (3189648)
• OCS Conferencing Addin для Outlook (64-разрядная) (3189648)

Почему обновление Lync 2010 Attendee (установка на уровне пользователя) доступно только через Microsoft Download Center?

Microsoft выпускает обновление Lync 2010 Attendee (установка на уровне пользователя) исключительно через Microsoft Download Center. Поскольку установка на уровне пользователя Lync 2010 Attendee происходит через сеанс Lync, автоматические методы обновления не подходят для такого сценария установки.