CVE-2020-0651

Опубликовано: 14 янв. 2020

Источник: msrc

EPSS Средний

Уязвимость удаленного выполнения кода в Microsoft Excel из-за некорректной обработки объектов в памяти

Описание

Злоумышленник, успешно воспользовавшийся этой уязвимостью, способен запустить произвольный код с правами текущего пользователя. Если текущий пользователь вошел в систему с правами администратора, злоумышленник способен взять контроль над затронутой системой. Это позволит ему устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя. Пользователи с ограниченными правами на системе подвержены меньшему риску по сравнению с пользователями, работающими с правами администратора.

Условия эксплуатации

Для эксплуатации уязвимости необходимо, чтобы пользователь открыл специально сформированный файл, созданный для нужной версии Microsoft Excel.

В случае атаки через электронную почту злоумышленник способен использовать уязвимость, отправив пользователю специальный файл и убедив его открыть его.
При атаках через веб злоумышленник может разместить сайт (или использовать скомпрометированный сайт, принимающий пользовательский контент), содержащий специально сформированный файл. Злоумышленник не способен заставить пользователя посетить сайт, но ему необходимо убедить их кликнуть на ссылку, обычно предоставляя приманку в виде электронной почты или сообщения, и затем убедить их открыть этот файл.

Решение

Обновление безопасности устраняет уязвимость, корректируя способ, которым Microsoft Excel обрабатывает объекты в памяти.

Часто задаваемые вопросы (FAQ)

Является ли Окно предпросмотра вектором атаки для этой уязвимости?

Нет, Окно предпросмотра не является вектором атаки для данной уязвимости.

Обновления

Продукт	Статья	Обновление
Microsoft Excel 2010 Service Pack 2 (32-bit editions)	4484243	Security Update
Microsoft Excel 2010 Service Pack 2 (64-bit editions)	4484243	Security Update
Microsoft Excel 2013 Service Pack 1 (32-bit editions)	4484234	Security Update
Microsoft Excel 2013 Service Pack 1 (64-bit editions)	4484234	Security Update
Microsoft Excel 2013 RT Service Pack 1	4484234	-
Microsoft Office 2016 for Mac	Release Notes	Security Update
Microsoft Excel 2016 (32-bit edition)	4484217	Security Update
Microsoft Excel 2016 (64-bit edition)	4484217	Security Update
Microsoft Office 2019 for 32-bit editions	Click to Run	-
Microsoft Office 2019 for 64-bit editions	Click to Run	-

Показывать по

Возможность эксплуатации

Publicly Disclosed

Exploited

Latest Software Release

Exploitation Less Likely

Older Software Release

Exploitation Less Likely

EPSS

Процентиль: 97%

0.33652

Средний

Связанные уязвимости

CVE-2020-0651

CVSS3: 7.8

nvd

около 6 лет назад

A remote code execution vulnerability exists in Microsoft Excel software when the software fails to properly handle objects in memory, aka 'Microsoft Excel Remote Code Execution Vulnerability'. This CVE ID is unique from CVE-2020-0650, CVE-2020-0653.

GHSA-96gm-5h9x-p3j9

github

больше 3 лет назад

BDU:2020-00223