CVE-2020-0901

Описание

Злоумышленник, успешно использующий уязвимость, способен выполнить произвольный код с правами текущего пользователя. Если текущий пользователь вошел в систему с правами администратора, злоумышленник способен получить контроль над атакуемой системой, устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя. Пользователи с меньшими правами на системе могут быть менее подвержены влиянию, чем пользователи с правами администратора.

Условия эксплуатации

Эксплуатация уязвимости требует открытия пользователем специально созданного файла в уязвимой версии Microsoft Excel.

• В сценарии атаки через электронную почту злоумышленник может эксплуатировать уязвимость путем отправки специально созданного файла пользователю и убеждения его открыть этот файл.

• В веб-атаке злоумышленник может разместить веб-сайт (или использовать скомпрометированный сайт, который принимает или размещает контент, загружаемый пользователями) с файлом, созданным для эксплуатации уязвимости. Злоумышленник не может заставить пользователей посетить веб-сайт напрямую. Вместо этого он должен убедить пользователя кликнуть по ссылке, как правило, с помощью заманивания в электронном письме или сообщении, а затем убедить их открыть специально созданный файл.

Решение

Обновление безопасности устраняет уязвимость, корректируя метод работы Microsoft Excel с объектами в памяти.

Часто задаваемые вопросы (FAQ)

Является ли Окно предпросмотра вектором атаки для этой уязвимости?

Нет, Окно предпросмотра не является вектором атаки.

Что такое Microsoft 365 Apps для предприятий?

Office 365 ProPlus был переименован в Microsoft 365 Apps для предприятий. Пожалуйста, ознакомьтесь с Изменением имени для Office 365 ProPlus для получения дополнительной информации.