CVE-2018-0797

Описание

Злоумышленник, успешно использовавший уязвимость, способен выполнить произвольный код с уровнем доступа текущего пользователя. Если текущий пользователь авторизован с правами администратора, злоумышленник способен получить контроль над системой, устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами. Пользователи с минимальными правами на системе могут пострадать меньше, чем пользователи с правами администратора.

Условия эксплуатации

Для эксплуатации уязвимости требуется, чтобы пользователь открыл специально созданный файл в уязвимой версии Microsoft Office. В сценарии атаки через электронную почту злоумышленник способен оправить файл жертве и убедить ее открыть его. В сценарии атаки через веб-сайт злоумышленник способен разместить файл на сайте или воспользоваться компрометированным сайтом для размещения пользовательского контента. Для этого злоумышленник должен убедить пользователя перейти по ссылке, например, в письме или сообщении, и затем открыть файл.

Решение

Обновление безопасности устраняет уязвимость путем изменения способа обработки содержимого RTF файлов в Microsoft Office.

Часто задаваемые вопросы (FAQ)

У меня установлен Microsoft Word 2010. Почему мне не предлагается обновление 4011658?

Обновление 4011658 применяется только к системам с определенными конфигурациями Microsoft Office 2010. Некоторые конфигурации не получают данное обновление.

Почему мне предлагают это обновление для программного обеспечения, не указанного как уязвимое в таблице с рейтингами уязвимостей?

Обновления способны затрагивать уязвимый код, существующий в компонентах, общих для нескольких продуктов Microsoft Office или версий одного и того же продукта. Таким образом, обновление распространяется на все поддерживаемые продукты и версии, содержащие уязвимый компонент.

Например, если обновление распространяется на продукты Microsoft Office 2007, то в таблице уязвимого ПО может быть указан только Microsoft Office 2007. Однако оно применяется к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer и другим продуктам Microsoft Office 2007, которые не перечислены в таблице, значит относится к продуктам Microsoft Office 2010.

Для более подробной информации о данном поведении и рекомендованных действиях см. статью базы знаний Microsoft 830335. Список продуктов Microsoft Office, к которым может относиться обновление, приведен в статье базы знаний, связанной с конкретным обновлением.

Почему есть отдельное обновление для Word Viewer?

Обновление Word Viewer (4011641) поддерживается и будет устанавливаться через Microsoft Update только на Windows Embedded POSReady 2009, так как Word Viewer предустановлен в этой операционной системе и поддержка продолжается. На других платформах поддержка Word Viewer более не осуществляется.