Уразливість нульового дня у всіх версіях Windows, які зараз експлуатуються в дикій природі (але Microsoft не буде виправляти Windows 7)

Корпорація Майкрософт повідомила, що у всіх підтримуваних версіях Windows є невиправлений недолік, який зараз експлуатується в дикій природі.

Уразливість віддаленого виконання коду при розборі шрифтів ADV200006 типу 1 включає вразливості в бібліотеці Adobe Type Manager, і Microsoft відомо про обмежені цілеспрямовані атаки на помилку.

Насправді існують дві вразливості в тому, як бібліотека Windows Adobe Type Manager неналежним чином обробляє спеціально створений багатоголовний шрифт – формат Adobe Type 1 PostScript, і ці вразливості можна використати, переконавши користувача відкрити спеціально створений документ або переглянути його в Панель попереднього перегляду Windows.

Це впливає на Windows 7, 8.1 і всі підтримувані версії Windows 10, хоча Microsoft каже, що вони не випустять виправлення для звичайних користувачів Windows 7, а лише для тих, у кого є контракти на розширену підтримку.

У своїх FAQ вони пишуть:

Чи потрібна мені ліцензія ESU, щоб отримати оновлення для Windows 7, Windows Server 2008 і Windows Server 2008 R2 для цієї вразливості?

Так, щоб отримати оновлення безпеки для цієї вразливості для Windows 7, Windows Server 2008 або Windows Server 2008 R2, ви повинні мати ліцензію ESU. Побачити 4522133 для отримання додаткової інформації.

Чому це оновлення випускається не для всіх клієнтів Windows 7?

Підтримка Windows 7 завершилася 14 січня 2020 року. Щоб отримати додаткові відомості про політику життєвого циклу Microsoft, відвідайте Життєвий цикл.

Microsoft розробляє виправлення і, ймовірно, випустить його в наступному виправленні у вівторок. Однак існують обхідні шляхи, які можна побачити в Microsoft тут.