CVE-2019-1060

Опубликовано: 08 окт. 2019

Источник: msrc

CVSS3: 6.4

EPSS Средний

Уязвимость удаленного выполнения кода в MS XML из-за некорректной обработки пользовательского ввода парсером Microsoft XML Core Services (MSXML)

Описание

Злоумышленник, успешно воспользовавшийся этой уязвимостью, способен выполнить вредоносный код удаленно, получив тем самым контроль над системой пользователя.

Условия эксплуатации

Для эксплуатации уязвимости злоумышленник способен разместить специально созданный веб-сайт, способный вызвать MSXML через веб-браузер. Однако злоумышленник не может принудить пользователя посетить такой сайт. Обычно злоумышленнику необходимо убедить пользователя перейти по ссылке в электронном письме или в мессенджере, что приведет пользователя на указанный сайт. Когда Internet Explorer разбирает XML-контент, злоумышленник способен выполнить вредоносный код удаленно и получить контроль над системой пользователя.

Решение

Обновление решает проблему уязвимости, корректируя метод обработки пользовательского ввода парсером MSXML.

Обновления

Продукт	Статья	Обновление
Windows Server 2012	4520007 4519985	Monthly Rollup Security Only
Windows Server 2012 (Server Core installation)	4520007 4519985	Monthly Rollup Security Only
Windows 8.1 for 32-bit systems	4520005 4519990	Monthly Rollup Security Only
Windows 8.1 for x64-based systems	4520005 4519990	Monthly Rollup Security Only
Windows Server 2012 R2	4520005 4519990	Monthly Rollup Security Only
Windows RT 8.1	4520005	-
Windows Server 2012 R2 (Server Core installation)	4520005 4519990	Monthly Rollup Security Only
Windows 10 for 32-bit Systems	4520011	Security Update
Windows 10 for x64-based Systems	4520011	Security Update
Windows Server 2016	4519998	Security Update

Показывать по

Возможность эксплуатации

Publicly Disclosed

Exploited

Latest Software Release

Exploitation Less Likely

Older Software Release

Exploitation Less Likely

DOS

N/A

EPSS

Процентиль: 96%

0.22645

Средний

6.4 Medium

CVSS3

Связанные уязвимости

CVE-2019-1060

CVSS3: 8.8

nvd

почти 6 лет назад

A remote code execution vulnerability exists when the Microsoft XML Core Services MSXML parser processes user input, aka 'MS XML Remote Code Execution Vulnerability'.

GHSA-2qj3-rh4c-5vh4

CVSS3: 8.8

github

около 3 лет назад

A remote code execution vulnerability exists when the Microsoft XML Core Services MSXML parser processes user input, aka 'MS XML Remote Code Execution Vulnerability'.

BDU:2019-03841

CVSS3: 7.5

fstec