Microsoft advarer Om Internet Explorer zero-day, Men ingen patch ennå

Microsoft har publisert en sikkerhetsrådgivning i dag om Et Sikkerhetsproblem I Internet Explorer (IE) som for tiden utnyttes i naturen-en såkalt nulldag.

SELSKAPETS sikkerhetsrådgivning (ADV200001) omfatter for tiden bare løsninger og begrensninger som kan brukes for å beskytte sårbare systemer mot angrep.

i skrivende stund er det ingen oppdatering for dette problemet. Microsoft sa at det jobbet med en løsning, for å bli utgitt på et senere tidspunkt.

Mens Microsoft sa At De var klar over AT IE zero-day ble utnyttet i naturen, beskrev selskapet disse som “begrensede målrettede angrep”, noe som tyder på at zero-day ikke ble bredt utnyttet, men heller at det var en del av angrep rettet mot et lite antall brukere.

disse BEGRENSEDE IE zero-day-angrepene antas å være en del av en større hackingskampanje, som også innebærer angrep mot Firefox-brukere.

Koblet til Forrige ukes Firefox zero-day

I forrige uke lappet Mozilla en lignende nulldag som ble utnyttet for å angripe Firefox-brukere. Mozilla krediterte Qihoo 360 for å oppdage Og rapportere Firefox zero-day.

i en nå slettet tweet sa Det Kinesiske cybersikkerhetsfirmaet at angriperne også utnyttet En internet Explorer zero-day. Dette ser ut til å være nulldagen Som Qihoo 360-forskere nevnte på den tiden.

ingen informasjon har blitt delt om angriperen eller arten av angrepene. Qihoo 360 returnerte ikke en forespørsel om kommentar som søker informasjon om angrepene.

RCE I IE

på teknisk nivå beskrev Microsoft DENNE IE zero-day som en rce-feil forårsaket av en minnekorrupsjonsfeil i IE ‘ s skriptmotor-nettleserkomponenten som håndterer JavaScript-kode.

Nedenfor Er Microsofts tekniske beskrivelse av denne nulldagen:

det Finnes et sikkerhetsproblem med ekstern kjøring av kode i måten skriptmotoren håndterer objekter i minnet I Internet Explorer. Sikkerhetsproblemet kan ødelegge minnet på en slik måte at en angriper kan utføre vilkårlig kode i konteksten til den gjeldende brukeren. En angriper som klarer å utnytte sikkerhetsproblemet, kan få de samme brukerrettighetene som den gjeldende brukeren. Hvis den gjeldende brukeren er logget på med administrative brukerrettigheter, kan en angriper som klarer å utnytte sikkerhetsproblemet, ta kontroll over et berørt system. En angriper kan deretter installere programmer, vise, endre eller slette data eller opprette nye kontoer med fulle brukerrettigheter.

i et nettbasert angrepsscenario kan en angriper være vert for et spesiallaget nettsted som er utformet for å utnytte sikkerhetsproblemet Via Internet Explorer, og deretter overbevise en bruker om å vise nettstedet, for eksempel ved å sende en e-post.

alle støttede windows desktop OG Server OS versjoner er påvirket, Microsoft sa.

DENNE IE rce zero-day spores også SOM CVE-2020-0674.

Microsoft lappet to LIGNENDE IE null-dager i September og November 2019. SELV OM IE ikke er standard nettleser i de nyeste WINDOWS OS-versjonene lenger, er nettleseren fortsatt installert med OPERATIVSYSTEMET. Brukere på eldre Windows-utgivelser er de som primært er i fare.