CVE-2020-0650

Опубликовано: 14 янв. 2020

Источник: msrc

EPSS Средний

Уязвимость удаленного выполнения кода в Microsoft Excel из-за некорректного управления объектами в памяти

Описание

Злоумышленник, успешно эксплуатировавший уязвимость, способен выполнить произвольный код с правами текущего пользователя. Если пользователь имеет права администратора, злоумышленник способен получить контроль над затронутой системой, устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами. Пользователи, чьи учетные записи имеют ограниченные права, подвергаются меньшему риску, чем пользователи с правами администратора.

Условия эксплуатации

Эксплуатация уязвимости требует, чтобы пользователь открыл специально созданный файл в уязвимой версии Microsoft Excel.

В сценарии атаки по электронной почте злоумышленник способен отправить специально созданный файл пользователю и убедить его открыть файл.
В веб-атаке злоумышленник может разместить на сайте (или использовать скомпрометированный сайт, который принимает или размещает контент от пользователей) специально созданный файл, предназначенный для эксплуатации уязвимости. Злоумышленник не может заставить пользователя посетить сайт, но способен убедить их перейти по ссылке, как правило, с помощью предложения в письме или моментальном сообщении, а затем убедить их открыть специально созданный файл.

Решение

Обновление безопасности исправляет уязвимость путем корректировки того, как Microsoft Excel управляет объектами в памяти.

Часто задаваемые вопросы (FAQ)

Является ли Окно предпросмотра вектором атаки для этой уязвимости?

Нет, Окно предпросмотра не является вектором атаки.

Обновления

Продукт	Статья	Обновление
Microsoft Excel 2010 Service Pack 2 (32-bit editions)	4484243	Security Update
Microsoft Excel 2010 Service Pack 2 (64-bit editions)	4484243	Security Update
Microsoft Excel 2013 Service Pack 1 (32-bit editions)	4484234	Security Update
Microsoft Excel 2013 Service Pack 1 (64-bit editions)	4484234	Security Update
Microsoft Excel 2013 RT Service Pack 1	4484234	-
Microsoft Office 2016 for Mac	Release Notes	Security Update
Microsoft Excel 2016 (32-bit edition)	4484217	Security Update
Microsoft Excel 2016 (64-bit edition)	4484217	Security Update
Microsoft Office 2019 for 32-bit editions	Click to Run	-
Microsoft Office 2019 for 64-bit editions	Click to Run	-

Показывать по

Возможность эксплуатации

Publicly Disclosed

Exploited

Latest Software Release

Exploitation Less Likely

Older Software Release

Exploitation Less Likely

EPSS

Процентиль: 97%

0.33652

Средний

Связанные уязвимости

CVE-2020-0650

CVSS3: 7.8

nvd

около 6 лет назад

A remote code execution vulnerability exists in Microsoft Excel software when the software fails to properly handle objects in memory, aka 'Microsoft Excel Remote Code Execution Vulnerability'. This CVE ID is unique from CVE-2020-0651, CVE-2020-0653.

GHSA-8p3h-r9rm-jhvg

github

больше 3 лет назад

BDU:2020-00217