В JScript компоненте Windows обнаружена критическая уязвимость

[smaster67]

Guests are not allowed to view images in posts, please You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Для эксплуатации проблемы атакующий должен заставить пользователя открыть вредоносную страницу или загрузить и открыть JS файл.

В одном из компонентов ОС Windows выявлена критическая уязвимость, позволяющая выполнить произвольный код на компьютере жертвы. Речь идет о Jscript — реализации JavaScript от Microsoft. Для эксплуатации проблемы атакующий должен заставить пользователя открыть вредоносную страницу или загрузить и открыть вредоносный JS файл на системе (как правило, исполняется через сервер Windows Script Host — wscript.exe).

Как пояснили эксперты Trend Micro Zero-Day Initiative (ZDI), обнародовавши е некоторые подробности о проблеме, уязвимость не так опасна, как кажется на первый взгляд, поскольку предоставляет возможность выполнения кода только в песочнице. Для исполнения кода на целевой системе атакующему потребуются дополнительные эксплоиты, позволяющие выйти за пределы изолированного окружения.

Степень опасности уязвимости оценена в 6,8 балла по шкале CVSSv2. Идентификатор ей пока не присвоен. Компания Microsoft была проинформирована о проблеме еще в январе текущего года, однако соответствующее исправление пока так и не выпустила. Как правило, ZDI предоставляет производителям 120 дней на подготовку обновлений, однако инженеры Microsoft потратили значительное количество времени на воспроизведение проблемы и не успели разработать патч до майского «вторника исправлений». В настоящее время точная дата выпуска патча неизвестна. Пока в качестве меры предосторожности эксперты рекомендуют пользователям запретить приложениям, использующим JScript (Internet Explorer, wscript.exe и пр.), обработку недоверенных JS кода и файлов.

Сервер сценариев Windows (Windows Script Host, WSH) — компонент Microsoft Windows, предназначенный для запуска сценариев на скриптовых языках JScript и VBScript, а также и на других дополнительно устанавливаемых языках (например, Perl).

Подробнее: You are not allowed to view links. Register or Login