Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

msrc логотип

CVE-2017-8557

Опубликовано: 11 июл. 2017
Источник: msrc
CVSS3: 5.5
EPSS Низкий

Уязвимость утечки информации в консоли Windows System Information, вызванная некорректной обработкой XML ввода в Microsoft Common Console Document (.msc)

Описание

Существует Уязвимость утечки информации в Microsoft Common Console Document (.msc) из-за некорректной парсинга XML ввода, который содержит ссылку на внешнюю сущность. Злоумышленник, успешно воспользовавшийся этой уязвимостью, способен читать произвольные файлы через декларацию внешней XML сущности (XXE).

Условия эксплуатации

Для эксплуатации уязвимости злоумышленник способен создать файл со специально сформированным XML содержимым и убедить авторизованного пользователя открыть этот файл.

Решение

Обновление решает уязвимость, модифицируя способ, которым Microsoft Common Console Document (.msc) обрабатывает XML ввод.

Обновления

ПродуктСтатьяОбновление
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Показывать по

Возможность эксплуатации

Publicly Disclosed

No

Exploited

No

Latest Software Release

Exploitation Less Likely

Older Software Release

Exploitation Less Likely

EPSS

Процентиль: 80%
0.01506
Низкий

5.5 Medium

CVSS3

Связанные уязвимости

CVSS3: 5.5
nvd
почти 8 лет назад

Windows System Information Console in Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold and R2, Windows RT 8.1, Windows 10 Gold, 1511, 1607, 1703, and Windows Server 2016 allows an information disclosure vulnerability improperly parses XML input containing a reference to an external entity, aka "Windows System Information Console Information Disclosure Vulnerability".

CVSS3: 5.5
github
около 3 лет назад

Windows System Information Console in Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold and R2, Windows RT 8.1, Windows 10 Gold, 1511, 1607, 1703, and Windows Server 2016 allows an information disclosure vulnerability improperly parses XML input containing a reference to an external entity, aka "Windows System Information Console Information Disclosure Vulnerability".

EPSS

Процентиль: 80%
0.01506
Низкий

5.5 Medium

CVSS3