4006-555-883

微软发布了一个紧急补丁用以修复在野利用的0day

发布时间:2019-09-26 11:28:00

  Microsoft发布了一个Internet Explorer零日漏洞的带外修补程序,该漏洞在野外攻击中被利用。

  跟踪为CVE-2019-1367的漏洞是存在于Internet Explorer脚本引擎中的内存损坏漏洞,它影响内存中对象的处理方式。

  “脚本引擎处理Internet Explorer内存中对象的方式存在远程代码执行漏洞。该漏洞可能会损坏内存,从而使攻击者能够在当前用户的上下文中执行任意代码。”Microsoft发布的安全顾问如是说。“成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录,则成功利用此漏洞的攻击者可以控制受影响的系统。然后,攻击者可以安装程序;查看、更改或删除数据;或创建具有完全用户权限的新帐户。“



  攻击者可以利用此漏洞获得与当前用户相同的权限,如果当前用户获得管理权限,则此攻击可能非常严重。

  为了利用此漏洞,攻击者可以宿主精心编制的网站,该网站旨在在Internet Explorer用户访问时触发此漏洞。攻击者只需诱骗受害者访问恶意网站,例如,通过电子邮件或支持嵌入脚本引擎内容的恶意电子邮件附件(HTML文件、PDF文件、Microsoft Office文档)向受害者发送指向恶意网站的链接。

  谷歌威胁分析小组(TAG)的克莱门特·莱基恩(Clément Lecigne)报告了该漏洞。今年早些时候,Lecigne报告了两个零日漏洞,一个是Google Chrome(CVE-2019-5786)中的释放后使用漏洞,另一个是Microsoft Windows(CVE-2019-0808)中的权限提升漏洞,这两个漏洞在野外被一起利用。

  Lecigne和谷歌的Tag没有透露这次攻击的技术细节。

  微软还为32位和64位系统提供了解决方案,这家科技巨头建议限制对j.dll文件的访问。管理员可以通过命令提示符执行此操作。微软警告称,解决方案是可逆的,因此只能用作临时解决方案。

  (内容译于securityaffairs.co)

最新发布
1
什么是EV代码签名证书
2
小威技术贴 | Apache单IP如何配置多个HTTPS虚拟主机
3
小威开讲啦 | Nginx如何实现OCSPStapling
4
小威开讲啦 | 如何修复 POODLE SSLv3 安全漏洞 (CVE-2014-3566)
5
HTTPS证书如何选择?
6
不用怀疑!SSL证书国产化已成必然趋势
7
为什么国家一直大力推行国密SSL证书?
8
原来除企业网站外,这些场景全都需要SSL证书……
9
请查收这份国密SSL改造方案,超200家头部企业用了都说好!
10
隐私风险跃居国内首要网络隐患?尽快部署SSL证书为网站加上“安全锁”
相关推荐
请查收这份国密SSL改造方案,超200家头部企业用了都说好!
小威开讲啦 | Nginx如何实现OCSPStapling
隐私风险跃居国内首要网络隐患?尽快部署SSL证书为网站加上“安全锁”
怕过期?怕麻烦?你需要SSL证书订阅模式!
为什么国家一直大力推行国密SSL证书?
不用怀疑!SSL证书国产化已成必然趋势
小威开讲啦 | 如何修复 POODLE SSLv3 安全漏洞 (CVE-2014-3566)
@所有网站运营者,SSL证书过期不要慌
小威技术贴 | Apache单IP如何配置多个HTTPS虚拟主机
原来除企业网站外,这些场景全都需要SSL证书……