WindowsJScriptコンポーネントの脆弱性にはまだパッチが適用されていません

WindowsのJScriptコンポーネントに欠陥が発見されました. 脆弱性は、脆弱なシステムで悪意のあるコードの実行につながる可能性があります, 研究者は警告します.

JScriptコンポーネントの脆弱性の詳細

JScriptの欠陥は、トレンドマイクロのゼロデイイニシアチブに提供したセキュリティ研究者のDmitriKaslovによって発見されました。 (ZDI). このプロジェクトは、独立した研究者と企業の間の脆弱性の開示を仲介することに焦点を当てています. 欠陥は、ZDIに従ってパッチなしで公開されていることに注意してください 120 締め切り.

何故ですか? ZDIの専門家は、数か月前にこの問題をMicrosoftに報告しました, 1月に, しかし、Microsoftはまだバグに対処するためのパッチをリリースしていません. ZDIは最近、欠陥に関するいくつかの技術的な詳細を含む要約を公開しました.

として 述べました ZDIによる:

この脆弱性により、リモートの攻撃者がMicrosoftWindowsの脆弱なインストールで任意のコードを実行する可能性があります. ターゲットが悪意のあるページにアクセスするか、悪意のあるファイルを開く必要があるという点で、この脆弱性を悪用するには、ユーザーの操作が必要です。.

この脆弱性は、JScriptでのエラーオブジェクトの処理に存在します. スクリプトでアクションを実行する, 攻撃者は、ポインタが解放された後、ポインタを再利用させる可能性があります, ZDIが追加されました. 攻撃者はこの欠陥を利用して、現在のプロセスのコンテキストでコードを実行できます.

JScriptコンポーネントの詳細

JScriptは、ECMAScript標準のMicrosoftの方言です。, MicrosoftのInternetExplorerで使用されます. JScriptは、アクティブスクリプトエンジンとして実装されています。 “差し込む” アクティブスクリプティングをサポートするOLEオートメーションアプリケーションへ, InternetExplorerなど, Active Server Pages, およびWindowsスクリプトホスト. 要するに, JScriptコンポーネントは、MicrosoftによるJavaScriptのカスタム実装です。.

欠陥がこのコンポーネントに影響を与えるため, ユーザーをだます必要があります (攻撃者による) 悪意のあるWebページにアクセスしたり、システムに悪意のあるJSファイルをダウンロードして実行したりする. ファイルは、WindowsScriptHostを使用して実行されます, またはwscript.exe.

脆弱性の性質を考えると、唯一の顕著な緩和戦略は、アプリケーションとの対話を信頼できるファイルに制限することです。, ZDIの研究者は言った.