Microsoft retter en massiv MSHTML-sårbarhed for fjernudførelse af kode

I de sidste par uger har virksomheder kæmpet for at klare en let udnyttet sårbarhed i MSHTML Internet Explorer-browsergengivelsesmotoren, som blev brugt af hackere i phishing-kampagner til at hacke virksomhedens netværk.

Beskrevet i CVE-2021-40444, Microsoft noter:

En angriber kan lave en ondsindet ActiveX -kontrol, der skal bruges af et Microsoft Office -dokument, der er vært for browserens gengivelsesmotor. Angriberen skulle derefter overbevise brugeren om at åbne det ondsindede dokument. Brugere, hvis konti er konfigureret til at have færre brugerrettigheder på systemet, kan påvirkes mindre end brugere, der opererer med administrative brugerrettigheder.

Hacket havde en sværhedsgrad på 8.8/10, og hackere var i stand til at omgå de begrænsninger, Microsoft foreslog.

I dag annoncerede Microsoft, at de har frigivet en rettelse til udnyttelsen som en del af Patch Tuesday, og siger:

14. september 2021: Microsoft har udgivet sikkerhedsopdateringer for at løse denne sårbarhed. Se venligst sikkerhedsopdateringstabellen for den relevante opdatering til dit system. Vi anbefaler, at du installerer disse opdateringer med det samme.

Rettelsen leveres via den månedlige sikkerhedspakke til Windows 7, Windows Server 2008 R2 og Windows Server 2008. Windows 10-brugere kan søge efter opdateringer i Indstillinger.

via BleepingComputer