В настольных и серверных версиях Windows найдена новая уязвимость нулевого дня

Trend Micro в рамках программы Zero Day Initiative сообщила о новой уязвимости нулевого дня, найденной ими в движке баз данных Jet, который используется в нескольких продуктах Microsoft, включая Access и Visual Basic.

Эта уязвимость позволяет злоумышленникам удаленно выполнять произвольный код на уязвимых системах с ОС Windows. Для использования этой уязвимости требуется взаимодействие с пользователем, поскольку жертва атаки должна посетить вредоносную страницу или открыть вредоносный файл.

Уязвимость существует в системе управления индексами в движке Jet. Специально подготовленные данные в файле БД могут инициировать операцию записи за пределами выделенного буфера памяти. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте текущего процесса.

Специалисты подтвердили работоспособность метода в Windows 7, но уязвимость также существует и в других версиях ОС, включая Windows 8.1 и Windows 10, а также серверных редакциях системы Windows Server 2008-2016.

Специалисты Trend Micro сообщили о находке в Microsoft и дали им 120 дней на устранение уязвимости. За это время Microsoft еще не выпустила соответствующую заплатку, она ожидается в октябрьском обновлении безопасности системы.