Уязвимoсть пoзвoляeт удaлeннo выпoлнить кoд нa уязвимoй систeмe.

В пятницу, 17 янвaря, кoмпaния Microsoft выпустилa увeдoмлeниe бeзoпaснoсти, в кoтoрoм прeдстaвилa спoсoбы oбxoдa критической уязвимости в Internet Explorer, эксплуатируемой киберпреступниками в реальных атаках.

Согласно уведомлению, уязвимость (CVE-2020-0674) связана с тем, как скриптовый движок обрабатывает объекты в памяти браузера. «Уязвимость может вызвать повреждение памяти, что позволит атакующему выполнить произвольный код в контексте текущего пользователя», – сообщается в уведомлении.

Эксплуатация уязвимости позволит злоумышленнику получить на уязвимой системе те же привилегии, что и у авторизованного пользователя. Если авторизованный пользователь является администратором, атакующий получит полный контроль над системой – сможет устанавливать и деинсталлировать программы, осуществлять различные действия с данными и создавать учетные записи с полными правами пользователя.

Для проведения web-атаки злоумышленник должен создать особым образом сконфигурированный сайт, способный проэксплуатировать уязвимость, а затем заманить на него жертву, например, с помощью ссылки в электронном письме.

В настоящее время Microsoft работает над патчем, который может выйти вне запланированных обновлений, как в случае с сентябрьским патчем для уязвимости нулевого дня в Internet Explorer (CVE-2019-1367).

Источник