Experții de securitate au descoperit o vulnerabilitate Windows evaluată ca o severitate medie. Aceasta permite atacatorilor de la distanță să execute cod arbitrar și există în cadrul gestionării obiectelor de eroare în JScript. Microsoft nu a lansat încă o corecție pentru eroare. Grupul de inițiativă Zero Day Trend Micro a dezvăluit că defectul a fost descoperit de Dmitri Kaslov de la Telespace Systems.

Vulnerabilitatea nu este exploatată în sălbăticie

Potrivit lui Brian Gorenc, directorul ZDI, nu există nicio indicație a vulnerabilității exploatate în sălbăticie. El a explicat că eroarea va face parte doar dintr-un atac de succes. El a continuat și a spus că vulnerabilitatea permite executarea codului într-un mediu cu cutii de nisip, iar atacatorii ar avea nevoie de mai multe exploatări pentru a scăpa de sandbox și pentru a-și executa codul pe un sistem țintă.

Defectul permite atacatorilor de la distanță să execute cod arbitrar pe instalațiile Windows, dar este necesară interacțiunea utilizatorilor, ceea ce face ca lucrurile să fie mai puțin oribile. Victima ar trebui să viziteze o pagină rău intenționată sau să deschidă un fișier rău intenționat care să permită executarea JScript-ului rău intenționat pe sistem.

Glitch-ul este în standardul Microsoft ECMAScript

Aceasta este componenta JScript folosită în Internet Explorer. Acest lucru provoacă probleme, deoarece efectuând acțiuni în script, atacatorii ar putea declanșa un indicator pentru a fi reutilizat după ce a fost eliberat. Bug a fost trimis pentru prima dată la Redmond în ianuarie anul acesta. Acum. Se dezvăluie publicului fără patch. Defectul este etichetat cu un scor CVSS de 6, 8, spune ZDI și asta înseamnă că evazează o severitate moderată.

Potrivit lui Gorenc, o patch va fi pe drum cât mai curând posibil, dar nu a fost dezvăluită o dată exactă. Deci, nu știm dacă va fi inclus în următoarea zi de marți. Singurul sfat disponibil este ca utilizatorii să-și restricționeze interacțiunile cu aplicația la fișiere de încredere.