CVE-2017-0014

Описание

Злоумышленник, который успешно эксплуатирует уязвимость, способен получить контроль над затронутой системой. Это может позволить злоумышленнику:

• Устанавливать программы
• Просматривать, изменять или удалять данные
• Создавать новые учетные записи с полными правами пользователя

Пользователи с менее привилегированными учетными записями могут испытывать меньшие последствия, чем пользователи с правами администратора.

Условия эксплуатации

Существует несколько способов, которыми злоумышленник может эксплуатировать уязвимость:

1. Веб-атака: Злоумышленник может создать специально оформленный веб-сайт для эксплуатации уязвимости и убедить пользователя посетить его. Злоумышленник не способен заставить пользователя перейти на контролируемый контент. Для этого злоумышленнику необходимо убедить пользователя выполнить действие, например, кликнуть по ссылке в электронном письме или мессенджере, что приведет их на сайт злоумышленника, или открыть вложение из письма.
2. Атака через обмен файлами: Злоумышленник может предоставить специально подготовленный файл документа для эксплуатации уязвимости и убедить пользователя открыть этот файл.

Важно отметить, что для затронутых продуктов Microsoft Office Окно предпросмотра является вектором атаки.

Решение

Обновление безопасности устраняет уязвимость, исправляя способ, которым графический компонент Windows обрабатывает объекты в памяти.

Часто задаваемые вопросы (FAQ)

Есть ли несколько пакетов обновлений для затронутого программного обеспечения?

Да. Клиенты должны устанавливать все обновления, предлагаемые для установленного на их системах программного обеспечения. Если несколько обновлений применимы, их можно установить в любом порядке.

Необходимо ли устанавливать эти обновления безопасности в определенной последовательности?

Нет. Несколько обновлений для данной системы можно применять в любом порядке.

Почему я не получаю обновление для Office 2010, который указан как затронутое программное обеспечение?

Обновление неприменимо к Office 2010 на Windows Vista и более поздних версиях Windows, так как уязвимый код отсутствует.

Почему я получаю обновление для программного обеспечения, которое не указано как затронутое?

Когда обновления устраняют уязвимый код, который существует в компоненте, используемом несколькими продуктами Microsoft Office или множеством версий одного и того же продукта, обновление считается применимым для всех поддерживаемых продуктов и версий, содержащих уязвимый компонент.

Содержит ли этот релиз дополнительные изменения, связанные с безопасностью?

Да. В дополнение к обновлениям безопасности, которые устраняют описанные уязвимости, Microsoft выпускет обновление, которое заменяет определенные сторонние библиотеки, использовавшиеся в Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 и всех версиях Windows 10. Это обновление обеспечивает ту же функциональность более безопасным и надежным способом.