CVE-2018-1028

Описание

Злоумышленник, успешно эксплуатировавший данную уязвимость, способен получить контроль над пораженной системой. После этого злоумышленник может устанавливать программы, просматривать, изменять или удалять данные, либо создавать новые учетные записи с полными правами пользователя. Пользователи, чьи учетные записи настроены с меньшими правами на системе, могут пострадать меньше, чем пользователи, работающие с правами администратора.

Условия эксплуатации

Существует несколько способов эксплуатации данной уязвимости злоумышленником:

1. Сценарий веб-атаки: Злоумышленник может разместить специально созданный веб-сайт, предназначенный для эксплуатации уязвимости, и убедить пользователя посетить этот сайт. Злоумышленник не способен заставить пользователя просмотреть контролируемый им контент. Вместо этого злоумышленник должен убедить пользователя выполнить определенное действие, обычно нажав на ссылку в электронной почте или мгновенном сообщении, которое приводит пользователя на сайт злоумышленника, или открыть вложение, отправленное по электронной почте.

2. Сценарий атаки через обмен файлами: Злоумышленник может предоставить специально созданный файл документа, предназначенный для эксплуатации уязвимости, и убедить пользователя открыть этот файл.

Следует отметить, что Окно предпросмотра не является вектором атаки для данной уязвимости.

Решение

Обновление безопасности устраняет уязвимость, корректируя обработку встроенных шрифтов в библиотеке шрифтов Windows.

Часто задаваемые вопросы (FAQ)

Почему мне предлагается это обновление для программного обеспечения, которое не указано в таблице затронутого программного обеспечения и оценок серьезности уязвимости?

Когда обновления устраняют уязвимый код, существующий в компоненте, который используется в нескольких продуктах Microsoft Office или в нескольких версиях одного и того же продукта Microsoft Office, такое обновление считается применимым для всех поддерживаемых продуктов и версий, содержащих уязвимый компонент.

Например, когда обновление применяется к продуктам Microsoft Office 2007, только Microsoft Office 2007 может быть конкретно указан в таблице затронутого программного обеспечения. Однако обновление может быть применимо к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer или любому другому продукту Microsoft Office 2007, который не указан непосредственно. Также, если обновление относится к продуктам Microsoft Office 2010, то только Microsoft Office 2010 может быть указано в таблице. Однако обновление может относиться к Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer или любому другому продукту Microsoft Office 2010, который не указан в таблице.

Для получения дополнительной информации о таком поведении и рекомендуемых действиях см. статью базы знаний Microsoft 830335. Для списка продуктов Microsoft Office, к которым может применяться обновление, обратитесь к статье базы знаний Microsoft, связанной с конкретным обновлением.