4006-555-883

微软发布了一个紧急补丁用以修复在野利用的0day

发布时间:2019-09-26 11:28:00

  Microsoft发布了一个Internet Explorer零日漏洞的带外修补程序,该漏洞在野外攻击中被利用。

  跟踪为CVE-2019-1367的漏洞是存在于Internet Explorer脚本引擎中的内存损坏漏洞,它影响内存中对象的处理方式。

  “脚本引擎处理Internet Explorer内存中对象的方式存在远程代码执行漏洞。该漏洞可能会损坏内存,从而使攻击者能够在当前用户的上下文中执行任意代码。”Microsoft发布的安全顾问如是说。“成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录,则成功利用此漏洞的攻击者可以控制受影响的系统。然后,攻击者可以安装程序;查看、更改或删除数据;或创建具有完全用户权限的新帐户。“



  攻击者可以利用此漏洞获得与当前用户相同的权限,如果当前用户获得管理权限,则此攻击可能非常严重。

  为了利用此漏洞,攻击者可以宿主精心编制的网站,该网站旨在在Internet Explorer用户访问时触发此漏洞。攻击者只需诱骗受害者访问恶意网站,例如,通过电子邮件或支持嵌入脚本引擎内容的恶意电子邮件附件(HTML文件、PDF文件、Microsoft Office文档)向受害者发送指向恶意网站的链接。

  谷歌威胁分析小组(TAG)的克莱门特·莱基恩(Clément Lecigne)报告了该漏洞。今年早些时候,Lecigne报告了两个零日漏洞,一个是Google Chrome(CVE-2019-5786)中的释放后使用漏洞,另一个是Microsoft Windows(CVE-2019-0808)中的权限提升漏洞,这两个漏洞在野外被一起利用。

  Lecigne和谷歌的Tag没有透露这次攻击的技术细节。

  微软还为32位和64位系统提供了解决方案,这家科技巨头建议限制对j.dll文件的访问。管理员可以通过命令提示符执行此操作。微软警告称,解决方案是可逆的,因此只能用作临时解决方案。

  (内容译于securityaffairs.co)

最新发布
1
@所有网站运营者,SSL证书过期不要慌
2
88%企业遭受DNS攻击 SSL证书为您的DNS安全护航
3
短链接钓鱼再度肆虐 部署高等级SSL证书杜绝安全隐患
4
天威诚信小课堂 | 原来……http协议竟是这么的脆弱
5
DigiCert 年度峰会:全球网络攻击加剧,SSL证书服务护航国内企业数字化转型
6
网站信息安全成国际焦点,部署适配SSL证书时不我待
7
3分钟,我要知道SSL证书的全部信息!
8
令人震惊!1862起数据泄漏事件,如何确保你的数据安全?
9
敲黑板!SSL证书常见七大问题答疑来啦!
10
全球去年数据泄露已超过去15年总和!谁来捍卫我们的信息安全?
相关推荐
天威诚信小课堂 | 原来……http协议竟是这么的脆弱
3分钟,我要知道SSL证书的全部信息!
短链接钓鱼再度肆虐 部署高等级SSL证书杜绝安全隐患
@所有网站运营者,SSL证书过期不要慌
88%企业遭受DNS攻击 SSL证书为您的DNS安全护航
令人震惊!1862起数据泄漏事件,如何确保你的数据安全?
DigiCert 年度峰会:全球网络攻击加剧,SSL证书服务护航国内企业数字化转型
网站信息安全成国际焦点,部署适配SSL证书时不我待