Microsoft opravuje masivní zranitelnost vzdáleného spouštění kódu MSHTML

V posledních několika týdnech se společnosti potýkaly se snadno zneužitelnou zranitelností vykreslovacího enginu prohlížeče MSHTML Internet Explorer, který byl používán hackery v phishingových kampaních k hackování firemních sítí.

Popsáno v CVE-2021-40444, Microsoft bere na vědomí:

Útočník by mohl vytvořit škodlivý ovládací prvek ActiveX, který by byl použit v dokumentu Microsoft Office, který je hostitelem vykreslovacího modulu prohlížeče. Útočník by pak musel uživatele přesvědčit, aby škodlivý dokument otevřel. Uživatelé, jejichž účty jsou nakonfigurovány tak, aby v systému měli méně uživatelských práv, mohou být méně ovlivněni než uživatelé, kteří pracují s administrativními uživatelskými právy.

Hack měl závažnost 8.8/10 a hackeři byli schopni obejít zmírnění navrhovaná společností Microsoft.

Dnes Microsoft oznámil, že vydal opravu exploitu jako součást Patch Tuesday a řekl:

14. září 2021: Společnost Microsoft vydala aktualizace zabezpečení k odstranění této chyby zabezpečení. Příslušnou aktualizaci pro váš systém naleznete v tabulce Aktualizace zabezpečení. Doporučujeme tyto aktualizace nainstalovat okamžitě.

Oprava je dodávána prostřednictvím měsíčního kumulativního balíčku zabezpečení pro Windows 7, Windows Server 2008 R2 a Windows Server 2008. Uživatelé Windows 10 mohou zkontrolovat aktualizace v Nastavení.

přes BleepingComputer