Microsoft skubber nødsituation Out of Band IE Zero-day fix til Windows Update

For ti dage siden udgav Microsoft en kumulativ opdatering uden for bandet til alle understøttede versioner af Windows 10 som adresserer en ny Internet Explorer-sårbarhed med fjernudførelse af kode.

Så var opdateringen kun tilgængelig via Update Catalogue, men det ser ud til, at Microsoft nu har tilstrækkelig tillid til patchen til at skubbe den ud til alle versioner af Windows.

Microsoft beskriver den alvorlige fejl som følger:

Der eksisterer en sårbarhed ved fjernudførelse af kode i den måde, hvorpå scriptmotoren håndterer objekter i hukommelsen i Internet Explorer. Sårbarheden kan ødelægge hukommelsen på en sådan måde, at en hacker kan udføre vilkårlig kode i konteksten af ​​den aktuelle bruger. En angriber, der med succes udnytter sårbarheden, kan opnå de samme brugerrettigheder som den aktuelle bruger. Hvis den aktuelle bruger er logget på med administrative brugerrettigheder, kan en hacker, der har udnyttet sårbarheden, tage kontrol over et berørt system. En angriber kunne derefter installere programmer; se, ændre eller slette data; eller opret nye konti med fulde brugerrettigheder.

I et webbaseret angrebsscenarie kan en angriber være vært for et specielt udformet websted, der er designet til at udnytte sårbarheden gennem Internet Explorer og derefter overbevise en bruger om at se webstedet, for eksempel ved at sende en e-mail.

Sikkerhedsopdateringen adresserer sårbarheden ved at ændre, hvordan script-motoren håndterer objekter i hukommelsen.

Microsoft benyttede også lejligheden til at skubbe endnu en fejlrettelse ud, denne gang til at rette printerproblemer forårsaget af en tidligere patch til den samme IE-fejl.

"Løser et intermitterende problem med udskriftsspooler-tjenesten, der kan forårsage, at udskriftsjob mislykkes. Nogle apps kan lukke eller generere fejl, såsom RPC-fejlen (Remote Procedure Call),« bemærker ændringsloggen.

fuld ændringslog for KB4524147 lyder:

Denne sikkerhedsopdatering indeholder sikkerhedssårbarheden i Internet Explorer-scriptingmotoren (CVE-2019-1367) og retter et nyligt udskrivningsproblem, som nogle brugere har oplevet.

De vigtigste ændringer inkluderer:

• Løser et periodisk problem med udskriftsspoolertjenesten, der kan forårsage, at udskriftsjob mislykkes. Nogle apps kan lukke eller generere fejl, såsom RPC-fejlen (Remote Procedure Call).
• Løser et problem, der kan resultere i en fejl, når du installerer Features On Demand (FOD), såsom .Net 3.5. Fejlen er: "Ændringerne kunne ikke være fuldstændige. Genstart din computer og prøv igen. Fejlkode: 0x800f0950."

Windows-brugere kan downloade opdateringen ved at søge efter opdateringer i Indstillinger eller vente på, at den bliver installeret automatisk.

Via ZDNet