Noll dagars sårbarhet i alla versioner av Windows som för närvarande utnyttjas i det vilda (men Microsoft kommer inte att korrigera Windows 7)

Microsoft har avslöjat att det finns en oparpad brist i alla versioner av Windows som stöds som för närvarande utnyttjas i det vilda.

Sårbarheten ADV200006 Typ 1 Font Parsing Remote Code Execution Vulnerability involverar sårbarheter i Adobe Type Manager Library, och Microsoft är medvetet om begränsade riktade attacker mot buggen.

Det finns faktiskt två sårbarheter i hur Windows Adobe Type Manager-biblioteket felaktigt hanterar ett specialtillverkat multi-masterteckensnitt – Adobe Type 1 PostScript-format, och sårbarheterna kan utnyttjas genom att övertyga en användare att öppna ett specialtillverkat dokument eller visa det i Windows förhandsgranskningsfönster.

Windows 7, 8.1 och alla versioner av Windows 10 som stöds påverkas, även om Microsoft säger att de inte kommer att släppa en patch för vanliga Windows 7-användare, utan endast de med utökade supportavtal.

I deras FAQ skriver de:

Behöver jag en ESU-licens för att ta emot uppdateringen för Windows 7, Windows Server 2008 och Windows Server 2008 R2 för denna sårbarhet?

Ja, för att få säkerhetsuppdateringen för denna sårbarhet för Windows 7, Windows Server 2008 eller Windows Server 2008 R2 måste du ha en ESU-licens. Ser 4522133 för mer information.

Varför släpps inte den här uppdateringen för alla Windows 7-kunder?

Windows 7 upphörde för support den 14 januari 2020. För mer information om Microsofts livscykelpolicyer, besök Livscykel.

Microsoft håller på att utveckla en patch och kommer troligen att släppa den nästa patch tisdag. Det finns dock lösningar, vilket kan ses hos Microsoft här.