CVE-2017-0060

Описание

Уязвимость существует в том, как Windows Graphics Device Interface (GDI) обрабатывает объекты в памяти, позволяя злоумышленнику получать информацию с целевой системы. Само по себе раскрытие информации не позволяет выполнять произвольный код, однако может дать возможность запуска произвольного кода, если злоумышленник использует эту уязвимость в сочетании с другой уязвимостью.

Условия эксплуатации

Для эксплуатации уязвимости злоумышленник должен войти в систему и запустить специально созданное приложение.

Решение

Обновление безопасности устраняет уязвимость, корректируя обработку адресов памяти GDI.

Часто задаваемые вопросы (FAQ)

Есть ли несколько пакетов обновления для некоторых затронутых программного обеспечения? Нужно ли устанавливать все обновления, указанные в таблице затронутого ПО?

Да. Пользователи должны применять все обновления, предложенные для программного обеспечения, установленного на их системах. Если имеются несколько обновлений, их можно устанавливать в любом порядке.

Нужно ли устанавливать эти обновления безопасности в определенной последовательности?

Нет. Несколько обновлений для одной системы могут быть установлены в любой последовательности.

Я использую Office 2010, который указан как затронутое ПО. Почему мне не предлагается обновление?

Обновление KB3127958 (Ogl.dll) не применяется к Office 2010 на Windows Vista и более поздних версиях Windows, поскольку уязвимый код отсутствует.

Мне предлагается это обновление для ПО, которое не указано как затронутое в таблице затронутого ПО и оценки критичности уязвимостей. Почему?

Когда обновления устраняют уязвимый код в компоненте, используемом несколькими продуктами Microsoft Office или несколькими версиями одного и того же продукта, обновление считается применимым для всех поддерживаемых продуктов и версий, содержащих уязвимый компонент

Например, когда обновление применяется к продуктам Microsoft Office 2007, только Microsoft Office 2007 может быть конкретно указана в таблице затронутого ПО. Однако обновление может применяться к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer и другим продуктам Microsoft Office 2007, не конкретно перечисленным в таблице затронутого ПО. Аналогично, когда обновление применяется к продуктам Microsoft Office 2010, только Microsoft Office 2010 может быть конкретно указана в таблице затронутого ПО. Однако обновление может относиться к Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer и другим продуктам Microsoft Office 2010, не конкретно указанным в таблице затронутого ПО.

Дополнительную информацию о таком поведении и рекомендуемые действия можно найти в статье базы знаний Microsoft 830335. Для перечня продуктов Microsoft Office, к которым может быть применено обновление, см. статью базы знаний Microsoft, связанную с конкретным обновлением.

Есть ли какие-либо требования для любых обновлений, предложенных в этом бюллетене для затронутых версий Microsoft Lync 2013 (Skype for Business)?

Да. Пользователи, использующие затронутые версии Microsoft Lync 2013 (Skype for Business), должны сначала установить обновление 2965218 для Office 2013, выпущенное в апреле 2015 года, и затем установить обновление безопасности 3039779, выпущенное в мае 2015 года. Дополнительную информацию об этих двух требуемых обновлениях можно найти в:

• Статья базы знаний 2965218
• Статья базы знаний 3039779

Почему обновление для Lync 2010 Attendee (уровень установки пользователя) доступно только в центре загрузок Microsoft?

Microsoft выпускает обновление для Lync 2010 Attendee (уровень установки пользователя) только через центр загрузок Microsoft. Поскольку установка на уровне пользователя для Lync 2010 Attendee выполняется через сеанс Lync, методы распространения, такие как автоматическое обновление, не подходят для такого сценария установки.

Содержит ли этот релиз какие-либо дополнительные изменения, связанные с безопасностью?

Да. В дополнение к обновлениям безопасности, устраняющим уязвимости, описанные в этом бюллетене, Microsoft выпускает обновление, которое заменяет определенные сторонние библиотеки, использовавшиеся в Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 и всех версиях Windows 10. Это обновление обеспечивает ту же функциональность более безопасным и надежным способом.