CVE-2017-0073

Описание

Злоумышленник, успешно использующий уязвимость, способен получить информацию для дальнейшего компрометации системы пользователя.

Условия эксплуатации

Для эксплуатации данной уязвимости злоумышленник должен войти в систему и запустить специально созданное приложение. Уязвимость не позволяет злоумышленнику выполнять код или повышать права пользователя напрямую, однако может использоваться для получения информации, которая позволит попытаться дальше скомпрометировать систему.

Решение

Обновление безопасности исправляет уязвимость путем корректировки обработки объектов в памяти компонентом Windows GDI.

Часто задаваемые вопросы (FAQ)

Существуют ли несколько пакетов обновлений для некоторого подверженного программного обеспечения? Нужно ли устанавливать все обновления из таблицы подверженного ПО?

Да. Пользователи должны установить все обновления, предлагаемые для установленного в их системах программного обеспечения. Если требуется несколько обновлений, они могут быть установлены в любом порядке.

Нужно ли устанавливать эти обновления безопасности в определенной последовательности?

Нет. Несколько обновлений для данной системы могут быть установлены в любом порядке.

Я использую Office 2010, который указан как подвержено уязвимости ПО. Почему мне не предлагают обновление?

Обновление KB3127958 (Ogl.dll) не применимо к Office 2010 на Windows Vista и более поздних версиях Windows, потому что уязвимый код отсутствует.

Мне предлагают это обновление для программного обеспечения, которое не указано как подверженное в таблице подверженного ПО и уровня серьезности уязвимости. Почему мне предлагают это обновление?

Когда обновления затрагивают уязвимый код, находящийся в компоненте, который используется несколькими продуктами Microsoft Office или несколькими версиями одного и того же продукта Microsoft Office, обновление применимо ко всем поддерживаемым продуктам и версиям, содержащим уязвимый компонент.

Например, когда обновление применяется к продуктам Microsoft Office 2007, в таблице подверженного ПО может быть указано только Microsoft Office 2007. Однако обновление может применяться к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer или любому другому продукту Microsoft Office 2007, который не указан в таблице подверженного ПО. Аналогично, когда обновление применяется к продуктам Microsoft Office 2010, в таблице подверженного ПО может быть указано только Microsoft Office 2010. Однако обновление может применяться к Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer или любому другому продукту Microsoft Office 2010, который не указан в таблице подверженного ПО.

Для получения более подробной информации об этом поведении и рекомендуемых действиях см. статью базы знаний Microsoft 830335. Для получения списка продуктов Microsoft Office, к которым может применяться обновление, обратитесь к статье базы знаний Microsoft, связанной с конкретным обновлением.

Существуют ли какие-либо предварительные требования для предлагаемых обновлений для затронутых выпусков Microsoft Lync 2013 (Skype for Business)?

Да. Пользователи, использующие затронутые выпуски Microsoft Lync 2013 (Skype for Business), должны сначала установить обновление 2965218 для Office 2013, выпущенное в апреле 2015 года, а затем обновление безопасности 3039779, выпущенное в мае 2015 года. Для получения более подробной информации об этих двух предварительных обновлениях см.: Knowledge Base Article 2965218 и Knowledge Base Article 3039779.

Почему обновление для Lync 2010 Attendee (установка на уровне пользователя) доступно только на сайте Microsoft Download Center?

Microsoft выпустила обновление для Lync 2010 Attendee (установка на уровне пользователя) только на Microsoft Download Center. Поскольку установка Lync 2010 Attendee на уровне пользователя осуществляется через сеанс Lync, методы распространения, такие как автоматическое обновление, не подходят для этого типа установки.

Содержит ли этот релиз какие-либо дополнительные изменения, связанные с безопасностью?

Да. В дополнение к обновлениям безопасности, устраняющим описанные в этом бюллетене уязвимости, Microsoft выпускает обновление, заменяющее некоторые сторонние библиотеки, использовавшиеся в Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 и всех версиях Windows 10. Это обновление предоставляет ту же функциональность более безопасным и надежным способом.