CVE-2017-8682

Описание

Злоумышленник, успешно эксплуатировавший эту уязвимость, способен получить контроль над пораженной системой. Затем злоумышленник может устанавливать программы; просматривать, изменять или удалять данные; или создавать новые учетные записи с полными пользовательскими правами. Пользователи, чьи учетные записи настроены с меньшими пользовательскими правами, могут подвергаться меньшему риску, чем пользователи, работающие с правами администратора.

Условия эксплуатации

Существует несколько способов, которыми злоумышленник способен эксплуатировать эту уязвимость:

1. Веб-атака: Злоумышленник может разместить специально созданный веб-сайт, предназначенный для эксплуатации данной уязвимости, и затем убедить пользователя просмотреть этот сайт. Злоумышленник не может принудительно заставить пользователя просматривать контролируемый контент. Вместо этого злоумышленнику требуется убедить пользователя предпринять действие, как правило, кликнув по ссылке в электронном сообщении или в мессенджере, которое перенаправит пользователя на сайт злоумышленника, либо открыв вложение, отправленное по электронной почте.

2. Атака через совместное использование файлов: Злоумышленник может предоставить специально созданный документ, предназначенный для эксплуатации данной уязвимости, и затем убедить пользователя открыть этот документ.

Решение

Обновление безопасности решает уязвимость, исправляя способ, которым библиотека шрифтов Windows обрабатывает встроенные шрифты.

Часто задаваемые вопросы (FAQ)

Почему мне предлагают это обновление для программного обеспечения, которое не указано в таблице Affected Software and Vulnerability Severity Ratings как пораженное?

Когда обновления устраняют уязвимый код, существующий в компоненте, который разделяется между несколькими продуктами Microsoft Office или версиями одного и того же продукта, то обновление считается применимым ко всем поддерживаемым продуктам и версиям, содержащим уязвимый компонент.

Например, когда обновление применяется к продуктам Microsoft Office 2007, в таблице Affected Software может быть указан только Microsoft Office 2007. Однако обновление может применяться к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer или любому другому продукту Microsoft Office 2007, который не указан в таблице Affected Software. Также, когда обновление применяется к продуктам Microsoft Office 2010, в таблице может быть указан только Microsoft Office 2010. Однако обновление может применяться к Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer или любому другому продукту Microsoft Office 2010, который не указан в таблице Affected Software.

Для более подробной информации об этом поведении и рекомендуемых действиях, смотрите статью базы знаний Microsoft 830335. Для получения списка продуктов Microsoft Office, которому может применяться обновление, обратитесь к статье базы знаний Microsoft, связанной с конкретным обновлением.