Sers có thể đã chuyển qua Internet Explorer sang các lựa chọn thay thế mới hơn, nhưng tin tặc vẫn nghĩ rằng họ có thể lấy được thứ gì đó từ trình duyệt cũ. US-CERT và Microsoft đã đưa ra các lời khuyên bảo mật về một lỗi Internet Explorer mà mà tin tặc sử dụng trong tự nhiên.
Nó có một lỗi hỏng bộ nhớ tồn tại trong cách công cụ kịch bản IE, xử lý bộ nhớ và có thể cho phép kẻ tấn công từ xa chạy mã tùy ý trên máy đích.
Công việc của công cụ tạo kịch bản là xử lý việc thực thi VBScript và Jscript. Sau khi vào máy, hacker nhận được các đặc quyền giống như người dùng hiện tại. Vì vậy, nếu người dùng đang chạy tài khoản Quản trị viên, tin tặc có quyền cài đặt / gỡ cài đặt ứng dụng.
Lời khuyên của CERT cảnh báo rằng bất kỳ ứng dụng nào có thể nhúng IE hoặc công cụ kịch bản bị ảnh hưởng đều có thể được sử dụng làm vectơ tấn công. Do đó, một tác nhân độc hại có thể thỏa hiệp các thiết bị bằng cách khiến người dùng mở một trang web được chế tạo đặc biệt hỗ trợ nội dung công cụ tập lệnh nhúng.
Điều này xuất hiện sau khi công ty bảo mật Qihoo 360 đã tweet về một IE nhưng sau đó đã xóa nó. Rõ ràng, tư vấn của microsft Hồi giáo ghi nhận một nhà nghiên cứu từ công ty dưới sự thừa nhận.
Microsoft đã xác định lỗ hổng tham nhũng bộ nhớ là CVE-2020-0674 và nói rằng họ đã nhận thức được các cuộc tấn công nhắm mục tiêu hạn chế.
Ngay bây giờ, không có bản vá bảo mật để sửa lỗi, nhưng nếu cần, Microsoft cho biết một cách khắc phục có thể là hạn chế quyền truy cập vào thư viện jscript.dll (phiên bản Jscript không còn tồn tại được phát hành năm 2009). Tuy nhiên, lỗi đã nói không làm ảnh hưởng đến thư viện jscript9.dll mới hơn mà sử dụng theo mặc định trong IE 11, IE10 và IE9.
Danh sách các hệ thống dễ bị tổn thương bao gồm tất cả được hỗ trợ Windows phiên bản, và cũng Windows 7 trong đó hỗ trợ mở rộng đã kết thúc gần đây. Thật thú vị khi lưu ý rằng trang tư vấn Microsoft Microsoft liệt kê một bản vá bảo mật cho Windows 7 cũng. Hãy chờ đợi để xem liệu công ty có cung cấp nó hay không.
Mặc dù công ty đang tiến hành sửa lỗi nhưng nó chắc chắn không nằm trong danh sách ưu tiên. Một người không nên mong đợi nó sẽ đến trước bản cập nhật Patch thứ ba tiếp theo, sẽ được phát hành vào ngày 11 tháng 2.
