CVE-2017-0108

Описание

После успешной эксплуатации уязвимости злоумышленник способен устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя. Пользователи, чьи учетные записи настроены с меньшими правами, могут пострадать меньше, чем пользователи с правами администратора.

Условия эксплуатации

Злоумышленник может использовать несколько способов для эксплуатации уязвимости:

• Сценарий веб-атаки: Злоумышленник может создать специально подготовленный веб-сайт, предназначенный для эксплуатации этой уязвимости, и убедить пользователя открыть этот сайт. Злоумышленник не способен заставить пользователя самостоятельно просмотреть содержимое, поэтому ему нужно убедить пользователя предпринять действие, например, кликнуть по ссылке в электронном письме или мгновенном сообщении, которая ведет на вредоносный сайт, либо открыть вложение в электронном письме.
• Сценарий атаки через обмен файлами: Злоумышленник может предоставить специально подготовленный документ, предназначенный для эксплуатации уязвимости, и затем убедить пользователя открыть этот документ.

Важно отметить, что в затронутых продуктах Microsoft Office Окно предпросмотра является вектором атаки.

Решение

Обновление безопасности устраняет уязвимость путем исправления способа, которым графический компонент Windows обрабатывает объекты в памяти.

Часто задаваемые вопросы (FAQ)

Необходимо ли устанавливать все обновления, указанные в таблице "Пострадавшее ПО"?

Да. Клиентам рекомендуется применять все предлагаемые обновления для установленного программного обеспечения. Если применимо несколько обновлений, они могут быть установлены в любом порядке.

Необходимо ли устанавливать эти обновления безопасности в определенной последовательности?

Нет. Несколько обновлений для одной системы могут быть применены в любом порядке.

Я использую Office 2010, указанное в списке пострадавшего ПО. Почему мне не предложено обновление?

Обновление, KB3127958 (Ogl.dll), не применимо к Office 2010 на Windows Vista и более поздних версиях Windows, так как уязвимый код отсутствует.

Почему мне предложено это обновление для программного обеспечения, которое не указано как пострадавшее?

Когда обновления адресуют уязвимый код, находящийся в компоненте, используемом несколькими продуктами Microsoft Office или несколькими версиями одного продукта, обновление применимо ко всем поддерживаемым продуктам и версиям, содержащим уязвимый компонент.

Пример: Обновление может применяться к Microsoft Office 2007 продуктам, даже если конкретно указана только Microsoft Office 2007. Это может включать Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer и другие.

Для подробной информации и рекомендуемых действий, см. Статья базы знаний Microsoft 830335. Список продуктов Microsoft Office, к которым может применяться обновление, указан в соответствующей статье базы знаний.

Существуют ли какие-либо предпосылки для обновлений, предложенных в этом бюллетене для пострадавших версий Microsoft Lync 2013 (Skype for Business)?

Да. Клиенты, использующие пострадавшие версии Microsoft Lync 2013 (Skype for Business), должны сначала установить обновление 2965218 для Office 2013 (релиз апрель 2015), затем обновление безопасности 3039779 (релиз май 2015). Подробности: Статья базы знаний 2965218 и Статья базы знаний 3039779.

Почему обновление для Lync 2010 Attendee (установка на уровне пользователя) доступно только в центре загрузки Microsoft?

Microsoft выпускает обновление для Lync 2010 Attendee (установка на уровне пользователя) только через центр загрузки Microsoft. Так как установка Lync 2010 Attendee осуществляется через сессию Lync, методы автоматического обновления для этого типа установки не подходят.

Содержит ли этот релиз какие-либо дополнительные изменения, связанные с безопасностью?

Да. Помимо обновлений безопасности, устраняющих уязвимости, Microsoft выпускает обновление, заменяющее определенные сторонние библиотеки, используемые в Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 и всех версиях Windows 10. Это обновление обеспечивает такую же функциональность более безопасным и надежным способом.