Trend Micro חושף פגיעות של Microsoft Jet שטרם תוקנה

Trend Micro חשפה פגיעות חדשה של Microsoft Jet שעדיין לא תוקנה. הפגיעות משפיעה על כל מהדורות מערכת ההפעלה והשרת של Windows הנתמכות.

יוזמת Zero Day של Trend Micro פועלת על ידי זיהוי באגים ודיווח עליהם לספקי התוכנה אשר יש להם מסגרת זמן לתיקון. מסגרת הזמן מוגדרת בדרך כלל ל-120 יום לפני שהפגיעות נחשפה ברבים. הקבוצה דיווחה על הפגיעות למיקרוסופט ב-8 במאי ונתנה להם 120 יום לתקן אותה, ולאחר מכן הפגיעות פורסמה לציבור. הקבוצה גם שיתפה את הוכחת קונספט (PoC) ב-GitHub עם הפרטים הקשורים לפגיעות.

הפגיעות היא פגם כתיבה מחוץ לתחום שניתן להפעיל על ידי פתיחת מקור Jet באמצעות רכיב של Microsoft המכונה מסד נתונים של קישור והטבעה של אובייקטים (OLEDB).

הפגם הספציפי קיים בניהול האינדקסים במנוע מסד הנתונים של Jet. נתונים מעוצבים בקובץ מסד נתונים יכולים להפעיל כתיבה מעבר לסוף מאגר שהוקצה.

– טרנד מיקרו

מיקרוסופט קיבלה את הפגיעות וצפויה להוציא תיקון באוקטובר. בינתיים, 0patch אישרה מיקרו-תיקון עבור משתמשי Windows 7.

7 שעות אחרי @thezdi פרסמה פרטים על פגיעות זו הניתנת לניצול מרחוק ללא תיקון ב-Jet Database Engine, יש לנו מועמד ל-micropatch ב-Windows 7. עוד על הפגיעות הזו והמיקרו-patch שלנו בקרוב. https://t.co/cSuIf5nubp

— 0patch (@0patch) ספטמבר 20, 2018

לעת עתה, Trend Micro ממליצה לא לפתוח קבצים מצורפים ממקורות לא מהימנים שעלולים להכיל קוד זדוני. מחקר האבטחה ללוקאס ליונג יוחס עם גילוי הפגיעות.

ויה: ZDNet