Microsoft предупреждает об эксплойтах нулевого дня в Internet Explorer

Microsoft заявляет, что готовит патч для исправления ошибки во многих версиях Internet Explorer, которой могут воспользоваться злоумышленники.

В сообщении безопасности, выпущенном в пятницу, Microsoft говорит, что уязвимость, обозначенная как CVE-2020-0674, присутствует в IE9, работающем на Windows Server 2008, IE10 на Windows Server 2012 и IE11 на Windows 7, 8.1, RT 8.1, 10.

Microsoft предупреждает, что этот эксплойт уже используется в «некоторых ограниченных целевых атаках». Специалисты Microsoft не анонсируют никаких сроков, когда будет опубликовано исправление, хотя и отмечает, что он предпочитает выпускать обновления безопасности во второй вторник каждого месяца, как часть своей ежемесячной серии исправлений «Патч вторник». Следовательно, 11 февраля может оказаться вероятной датой появления обновления безопасности.

По словам Microsoft, злоумышленники могут использовать уязвимость, существующую в скриптовом движке, встроенном в Internet Explorer, для удаленного выполнения кода по своему выбору. «Злоумышленник, успешно воспользовавшийся этой уязвимостью, может получить те же права, что и текущий пользователь», - говорится в заявлении. «Если текущий пользователь вошел в систему с правами администратора, злоумышленник, успешно воспользовавшийся этой уязвимостью, может взять под контроль уязвимую систему.

Эксперты Microsoft предупреждают, что этот эксплойт создает «умеренный» риск для серверов и «критический» риск для всех других уязвимых систем. Критическое означает, что уязвимость может быть удаленно использована для получения полного контроля над системой.

Не все пользователи IE подвергаются риску. «По умолчанию IE11, IE10 и IE9 используют Jscript9.dll, который не подвержен этой уязвимости», - говорит Microsoft. «Эта уязвимость затрагивает только некоторые веб-сайты, которые используют jscript в качестве механизма сценариев».