Zero-day sårbarhed i alle versioner af Windows, der i øjeblikket udnyttes i naturen (men Microsoft vil ikke lappe Windows 7)

Microsoft har afsløret, at der er en uoprettet fejl i alle understøttede versioner af Windows, som i øjeblikket bliver udnyttet i naturen.

ADV200006 Type 1 Font Parsing Remote Code Execution Vulnerability involverer sårbarheder i Adobe Type Manager Library, og Microsoft er opmærksom på begrænsede målrettede angreb mod fejlen.

Der eksisterer faktisk to sårbarheder i, hvordan Windows Adobe Type Manager-biblioteket håndterer en specialfremstillet multi-master skrifttype forkert – Adobe Type 1 PostScript-format, og sårbarhederne kan udnyttes ved at overbevise en bruger om at åbne et specielt udformet dokument eller se det i Windows Preview rude.

Windows 7, 8.1 og alle understøttede versioner af Windows 10 er berørt, selvom Microsoft siger, at de ikke vil frigive en patch til almindelige Windows 7-brugere, men kun dem med udvidede supportkontrakter.

I deres FAQ skriver de:

Skal jeg have en ESU-licens for at modtage opdateringen til Windows 7, Windows Server 2008 og Windows Server 2008 R2 for denne sårbarhed?

Ja, for at modtage sikkerhedsopdateringen for denne sårbarhed til Windows 7, Windows Server 2008 eller Windows Server 2008 R2 skal du have en ESU-licens. Se 4522133 for mere information.

Hvorfor udgives denne opdatering ikke til alle Windows 7-kunder?

Windows 7 sluttede med support den 14. januar 2020. For mere information om Microsofts livscykluspolitikker, besøg venligst Livscyklus.

Microsoft er ved at udvikle en patch og vil sandsynligvis frigive den i næste patch tirsdag. Der findes dog løsninger, som kan ses hos Microsoft her.