Злоумышленник может выполнить код благодаря 0-day в Windows JScript

Злоумышленник может выполнить код благодаря 0-day в Windows JScript

...
Злоумышленник может выполнить код благодаря 0-day в Windows JScript

В компоненте операционной системы Windows JScript обнаружена 0-day уязвимость, благодаря ей злоумышленник может выполнить вредоносный код на компьютере пользователя. О наличии такой серьезной проблемы безопасности сообщил исследователь из Telspace Systems Дмитрий Каслов.

Недостаток был раскрыт в рамках Trend Micro Zero-Day Initiative (ZDI) еще в январе, после чего эксперты ZDI сообщили об этом Microsoft.

Спустя четыре месяца корпорация так и не выпустила обновление, устраняющее данную брешь, поэтому специалисты решили опубликовать часть технических подробностей уязвимости. Напомним, что в рамках ZDI обычно принято ждать 120 дней, прежде чем публично освещать проблемы безопасности.

«Эта уязвимость позволит удаленному злоумышленнику выполнить произвольный код на уязвимых системах Microsoft Windows. Однако для эксплуатации данной бреши требуется взаимодействие с пользователем — атакующий должен заставить его посетить вредоносную страницу, либо запустить вредоносный файл», — говорится в опубликованном ZDI отчете.

«Баг присутствует в обработке Error-объектов в JScript, атакующий может вызвать повторное использование указателя после его освобождения. Таким образом, у злоумышленника появится возможность выполнить код в контексте текущего процесса».

По шкале CVSSv2 брешь получила 6,8 баллов из 10.

Как уже было сказано ранее, злоумышленнику требуется заманить пользователя на  вредоносный сайт, либо загрузить на его компьютер JS-файл. Следовательно, уязвимость не позволит киберпреступнику полностью скомпрометировать систему, так как вредоносный код будет выполнять только в изолированной среде.

Microsoft в данный момент работает над устранением этого бага.

Подпишитесь на новости

В сеть слили 25 минут геймплея GTA 6

Rockstar снова не дали спокойно готовиться к релизу GTA 6. Cyberleek, который несколько недель не публиковал новых утечек, вернулся с 25-минутным роликом. Это самая длинная запись игрового процесса, опубликованная под этим именем.

Как пишет Game Rant, в видео показан Джейсон, который вместе с Люсией посещает Thrillbilly Mud Club и участвует в гонках по грязи.

Прогулкой дело не ограничивается: затем герой отправляется на задание с приятелем, уже без своей напарницы. В записи есть новые сюжетные сцены, любителям проходить игры без спойлеров лучше поберечь любопытство.

Отдельное внимание привлёк внешний вид Джейсона. На нём заметны многочисленные татуировки, а позже он появляется с другой причёской. Издание рассматривает это как намёк на возможности кастомизации. В какой-то момент персонаж вообще остаётся без одежды.

Cyberleek замолчал после официального показа GTA 6 на Netflix. На фоне попыток Take-Two и Rockstar установить источник утечек возникли предположения, что автора уже нашли. Но новый ролик явно портит эту красивую версию событий.

Кто скрывается за псевдонимом — один человек или группа — по-прежнему неизвестно. Пользователям также стоит остерегаться фейковых релизов GTA 6: например, мы писали, что одна такая фальшивка весом 113 ГБ оказалась упаковкой для зловреда.

RSS: Новости на портале Anti-Malware.ru