Во вторник, 8 октября, компания Microsoft выпустила очередные ежемесячные обновления безопасности для своих продуктов. В общей сложности было исправлено 59 уязвимостей в Windows и связанном ПО, 9 из которых являются критическими, 49 – опасными и 1 – средней опасности.
Две критические уязвимости (CVE-2019-1238 и CVE-2019-1239), позволяющие удаленно выполнить код, были исправлены в VBScript. Проблемы связаны с тем, как VBScript обрабатывает объекты в памяти, и позволяют атакующему вызвать повреждение памяти и выполнить произвольный код в контексте текущего пользователя. Для эксплуатации уязвимостей злоумышленник должен хитростью заставить жертву открыть особым образом сконфигурированный сайт в браузере Internet Explorer.
Проэксплуатировать обе уязвимости можно также с помощью приложения или документа Microsoft Office, встроив элемент управления ActiveX, отмеченный как «безопасный для инициализации» и использующий движок браузера Internet Explorer.
Как и в прошлые месяцы, Microsoft исправила очередную уязвимость во встроенном в Windows приложении Remote Desktop Client, позволяющую получить контроль над компьютерами путем подключения их к вредоносному RDP-серверу. В отличие от червеобразной уязвимости BlueKeep, новоиспеченная уязвимость не является самораспространяющейся и для ее эксплуатации злоумышленник должен заставить жертву подключиться к вредоносному RDP-серверу либо с помощью социальной инженерии, либо путем «отравления» кэша DNS (DNS cache poisoning), либо осуществив атаку «человек посередине».
Три критические уязвимости, позволяющие удаленно выполнить код, были также исправлены в скриптовом движке Chakra. Проблемы существуют из-за того, как Chakra обрабатывает объекты в памяти в Microsoft Edge, и приводят к повреждению памяти. Одна критическая уязвимость позволяет повысить привилегии и возникает, когда Azure App Service в Azure Stack не проверяет длину буфера прежде, чем скопировать в него память.