CVE-2019-0845

Описание

Злоумышленник, успешно воспользовавшийся этой уязвимостью, способен запустить вредоносный код удаленно, получив полный контроль над системой пользователя.

Условия эксплуатации

В сценарии веб-атаки злоумышленник может разместить специально разработанный веб-сайт, эксплуатировавший уязвимость через браузеры Microsoft, и затем убедить пользователя посетить этот сайт. Злоумышленник также способен встроить элемент ActiveX, помеченный как "безопасный для инициализации", в приложение или документ Microsoft Office, использующий движок отрисовки браузера. Злоумышленник также может воспользоваться скомпрометированными веб-сайтами и сайтами, принимающими пользовательский контент или рекламу. Эти сайты могут содержать специально подготовленный контент, эксплуатировавший уязвимость.

Решение

Обновление устраняет уязвимость путем корректировки методов, задействованных при вызове интерфейса IOleCvt.

Часто задаваемые вопросы (FAQ)

Что такое интерфейс IOleCvt?

Интерфейс автоматизации для объекта IOleCvt позволяет ASP веб-странице выполнять различные преобразования строк из одного формата в другой. Эти преобразования включают:

• Преобразование из Unicode в ANSI
• Преобразование из ANSI в Unicode
• Преобразование из Unicode в UTF-8
• Преобразование из Unicode, использующего одну кодовую страницу, в Unicode, использующее другую кодовую страницу

Несмотря на то, что большинство приложений теперь используют кодировку Unicode (UTF-16) для символьных данных, некоторые настольные приложения Windows используют наборы символов на основе кодовых страниц Windows. Кодовая страница назначает международные символы ANSI-кодам символов больше 127. Для получения дополнительной информации, пожалуйста, ознакомьтесь с интерфейсом автоматизации IOleCvt.