Microsoft posílá na Windows Update nouzovou opravu Out of Band IE Zero-day

Před deseti dny Microsoft vydal mimopásmovou kumulativní aktualizaci pro všechny podporované verze Windows 10 který řeší novou chybu zabezpečení aplikace Internet Explorer pro vzdálené spuštění kódu.

Poté byla aktualizace k dispozici pouze prostřednictvím katalogu aktualizací, ale zdá se, že společnost Microsoft nyní opravě dostatečně důvěřuje, aby ji rozšířila na všechny verze systému Windows.

Microsoft popisuje závažnou chybu následovně:

Ve způsobu, jakým skriptovací stroj zpracovává objekty v paměti v aplikaci Internet Explorer, existuje chyba zabezpečení umožňující vzdálené spuštění kódu. Tato chyba zabezpečení by mohla poškodit paměť takovým způsobem, že by útočník mohl spustit libovolný kód v kontextu aktuálního uživatele. Útočník, který by tuto chybu zabezpečení úspěšně zneužil, by mohl získat stejná uživatelská práva jako aktuální uživatel. Pokud je aktuální uživatel přihlášen s uživatelskými právy správce, útočník, který by tuto chybu zabezpečení úspěšně zneužil, by mohl převzít kontrolu nad postiženým systémem. Útočník by pak mohl instalovat programy; prohlížet, měnit nebo mazat data; nebo vytvořit nové účty s plnými uživatelskými právy.

Ve scénáři webového útoku by útočník mohl hostit speciálně vytvořený web, který je navržen tak, aby zneužil tuto chybu zabezpečení prostřednictvím aplikace Internet Explorer, a poté přesvědčit uživatele, aby si web prohlédl, například odesláním e-mailu.

Aktualizace zabezpečení řeší tuto chybu zabezpečení úpravou způsobu, jakým skriptovací stroj zpracovává objekty v paměti.

Microsoft také využil příležitosti k vydání další opravy chyb, tentokrát k opravě problémů s tiskárnou způsobených dřívější opravou stejné chyby IE.

„Řeší občasný problém se službou zařazování tisku, který může způsobit selhání tiskových úloh. Některé aplikace se mohou zavřít nebo generovat chyby, jako je chyba vzdáleného volání procedur (RPC),“ poznamenává changelog.

Projekt úplný seznam změn pro KB4524147 zní:

Tato aktualizace zabezpečení zahrnuje zmírnění chyby zabezpečení skriptovacího stroje Internet Explorer (CVE-2019-1367) a opravuje nedávný problém s tiskem, se kterým se někteří uživatelé setkali.

Mezi klíčové změny patří:

• Řeší občasný problém se službou zařazování tisku, který může způsobit selhání tiskových úloh. Některé aplikace se mohou zavřít nebo generovat chyby, jako je chyba vzdáleného volání procedur (RPC).
• Řeší problém, který může způsobit chybu při instalaci funkcí na vyžádání (FOD), jako je .Net 3.5. Chyba je: „Změny nebylo možné dokončit. Restartujte počítač a zkuste to znovu. Kód chyby: 0x800f0950.”

Uživatelé systému Windows si mohou aktualizaci stáhnout pomocí funkce Kontrola aktualizací v Nastavení nebo počkat, až se automaticky nainstaluje.

Přes ZDNet