CVE-2020-1225

Описание

Злоумышленник, который успешно использует уязвимость, способен выполнить произвольный код с правами текущего пользователя. Если пользователь вошел в систему с правами администратора, злоумышленник способен взять под контроль пораженную систему. Злоумышленник может устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными правами пользователя. Пользователи, чьи учетные записи настроены с меньшими правами, могут быть менее подвержены воздействию, чем пользователи с правами администратора.

Условия эксплуатации

Эксплуатация уязвимости требует, чтобы пользователь открыл специально созданный файл в уязвимой версии Microsoft Excel.

• В сценарии атаки по электронной почте злоумышленник способен использовать уязвимость, отправив специально созданный файл пользователю и убедив его открыть этот файл.

• В веб-атаке злоумышленник может разместить специально созданный файл на сайте (или использовать скомпрометированный сайт, который принимает или размещает пользовательский контент), подготовленный для использования уязвимости. Злоумышленник не способен принудительно заставить пользователя посетить сайт, вместо этого он должен убедить пользователя нажать на ссылку, обычно через приманку в электронном письме или мгновенном сообщении, а затем убедить их открыть специально созданный файл.

Решение

Обновление безопасности устраняет уязвимость, корректируя то, как Microsoft Excel обрабатывает объекты в памяти.

Часто задаваемые вопросы (FAQ)

Является ли Окно предпросмотра вектором атаки для этой уязвимости?

Нет, Окно предпросмотра не является вектором атаки.

Доступны ли обновления для Microsoft Office для Mac?

Обновления безопасности для Microsoft Office 2016 для Mac и Microsoft Office 2019 для Mac пока недоступны. Обновления будут выпущены как можно скорее, и когда они будут доступны, пользователи будут уведомлены через обновление этой информации CVE.