Уязвимость удаленного выполнения кода в Microsoft Office из-за некорректной обработки объектов в памяти программным обеспечением
Описание
Злоумышленник, успешно эксплуатируя уязвимость, способен выполнять произвольный код с правами текущего пользователя. Если текущий пользователь обладает правами администратора, злоумышленник способен получить контроль над системой, устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя. Пользователи с меньшими правами на системе сталкиваются с меньшими последствиями.
Условия эксплуатации
Для эксплуатации уязвимости необходимо, чтобы пользователь открыл специально подготовленный файл в уязвимой версии Microsoft Office.
-
В сценарии электронной почты злоумышленник способен отправить такой файл пользователю и убедить его открыть его.
-
В веб-сценарии злоумышленник способен разместить вредоносный файл на веб-сайте или использовать скомпрометированный сайт, принимающий пользовательский контент. Злоумышленник не способен принудительно заставить пользователя посетить веб-сайт; вместо этого необходимо убедить их кликнуть на ссылку, возможно, через сообщение электронной почты или мгновенного обмена сообщениями, и затем убедить открыть вредоносный файл.
Решение
Обновление безопасности устраняет уязвимость, исправляя способ, которым Microsoft Office обрабатывает объекты в памяти.
Часто задаваемые вопросы (FAQ)
Почему мне предлагают это обновление для программного обеспечения, не указанного в таблице уязвимого программного обеспечения?
Когда обновления исправляют уязвимый код в компоненте, который общий для нескольких продуктов Microsoft Office или общих между несколькими версиями одного и того же продукта, обновление считается применимым ко всем поддерживаемым продуктам и версиям, содержащим уязвимый компонент. Например, когда обновление применяется к продуктам Microsoft Office 2007, только Microsoft Office 2007 может быть специально указан в таблице уязвимого программного обеспечения. Однако обновление может быть применимо к Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer или любому другому продукту Microsoft Office 2007, который не указан специально. Для более подробной информации и рекомендуемых действий см. статью базы знаний Microsoft 830335. Для списка продуктов Microsoft Office, к которым может применяться обновление, обратитесь к статье базы знаний Microsoft, связанной с конкретным обновлением.
Обновления
| Продукт | Статья | Обновление |
|---|---|---|
| Microsoft Office 2010 Service Pack 2 (32-bit editions) | ||
| Microsoft Office 2010 Service Pack 2 (64-bit editions) | ||
| Microsoft Office 2013 Service Pack 1 (32-bit editions) | ||
| Microsoft Office 2013 Service Pack 1 (64-bit editions) | ||
| Microsoft Office 2013 RT Service Pack 1 | - | |
| Microsoft Office 2016 (32-bit edition) | ||
| Microsoft Office 2016 (64-bit edition) | ||
| Microsoft Office 2016 Click-to-Run (C2R) for 32-bit editions | - | |
| Microsoft Office 2016 Click-to-Run (C2R) for 64-bit editions | - |
Показывать по
Возможность эксплуатации
Publicly Disclosed
Exploited
Latest Software Release
Older Software Release
EPSS
Связанные уязвимости
A remote code execution vulnerability exists in Microsoft Office software when the software fails to properly handle objects in memory, aka "Microsoft Office Remote Code Execution Vulnerability." This affects Microsoft Office. This CVE ID is unique from CVE-2018-8157, CVE-2018-8161.
A remote code execution vulnerability exists in Microsoft Office software when the software fails to properly handle objects in memory, aka "Microsoft Office Remote Code Execution Vulnerability." This affects Microsoft Office. This CVE ID is unique from CVE-2018-8157, CVE-2018-8161.
Уязвимость пакета программ Microsoft Office, вызванная выходом операции за границы буфера в памяти, позволяющая нарушителю выполнить произвольный код
EPSS