Google раскрыла детали RCE-уязвимости в графическом компоненте Windows

Google раскрыла детали RCE-уязвимости в графическом компоненте Windows

Google раскрыла детали RCE-уязвимости в графическом компоненте Windows

Участники Google-проекта Project Zero сняли эмбарго с публикации отчета об опасной уязвимости, недавно пропатченной в клиентских и серверных Windows. Ее использование позволяет удаленно выполнить вредоносный код в системе, если злоумышленнику удастся заманить пользователя на свой сайт и заставить его открыть специально созданный файл.

Степень опасности уязвимости, зарегистрированной как CVE-2021-24093, оценена в 8,8 балла по шкале CVSS; Microsoft сочла ее критической для всех поддерживаемых версий Windows. Заплатка включена в состав обновления, вышедшего две недели назад в рамках февральского «вторника патчей».

Данная проблема, со слов авторов находки, затрагивает DirectWrite API и может проявиться как переполнение буфера в куче при обработке элементов графики из набора встроенных шрифтов TrueType на странице, открытой в браузере. Спровоцировав эту ошибку, автор атаки сможет выполнить любой код в контексте клиента DirectWrite.

Пробный эксплойт (PoC), созданный исследователями, с успехом отработал на полностью пропатченной Windows 10 версии 1909 и во всех основных браузерах. Воспроизвести уязвимость в интерфейсе Windows GDI им не удалось, однако краткий анализ показал, что такую возможность нельзя исключать.

Данных об использовании CVE-2021-24093 в реальных атаках пока нет, и в Microsoft сочли такую вероятность минимальной.

Подпишитесь на новости

Делегировать ИИ не получится: руководителям добавили новые задачи

Установить сотрудникам ИИ-ассистента и продолжить руководить по старинке — слабый план. СберУниверситет представил отчёт о том, как искусственный интеллект меняет управление. Из 61 предложенного действия 37 авторы относят к новым практикам. Начальнику тоже придётся обновиться.

В опубликованном исследовании изменения разложены по модели «Перестать — Изменить — Начать». Основа — анализ более 8500 публикаций из свыше 80 российских и зарубежных источников.

Исследователи выделили 15 трендов и 19 ключевых изменений. Среди них — сокращение горизонта стратегирования, отказ от совещаний ради обмена статусами и переход ИИ-трансформации в зону личной ответственности CEO.

Новые обязанности включают определение границ самостоятельности ИИ, оценку экономического эффекта, контроль качества данных и организацию совместной работы людей с агентами. При этом команде нужно помочь адаптироваться и сохранить важные компетенции.

Цифру более 60% авторы связывают с набором действий в своём отчёте: 37 из 61. Это не замер доли новой работы у каждого российского руководителя.

Таким образом, осваивать новое придётся одновременно с отказом от привычного. Даже если привычное — любимая часовая встреча, на которой десять человек по очереди говорят, что всё ещё работают.

RSS: Новости на портале Anti-Malware.ru