В конце сентября специалисты Trend Micro Zero Day Initiative (ZDI) рассказали об опасном баге в составе СУБД Microsoft Jet Database Engine. По данным исследователей, проблема угрожала всем актуальным на сегодня версиям Windows (Windows 10, Windows 8.1, Windows 7, а также Windows Server от 2008 до 2016) и допускала исполнение произвольного кода.
Ситуация усугублялась тем, что инженерам Microsoft о проблеме сообщили еще в начале мая 2018 года, после чего эксперты ZDI выждали даже не положенные в таких случаях 90 дней, а 120, учитывая серьезность бага. Однако на конец сентября патча по-прежнему не было, и тогда специалисты решили, что пора рассказать о баге публично.
Напомню, что уязвимость представляет собой проблему записи за пределы буфера (out-of-bounds writes), которую может спровоцировать открытие источника данных JET, осуществленное посредством Object Linking and Embedding Database (OLEDB). Эксплуатация проблемы ведет к исполнению произвольного кода в контексте текущего пользователя. Однако, по словам исследователей, для этого атакующему придется убедить свою жертву открыть специально созданный файл, содержащий данные СУБД JET. Этот формат используется самыми разными приложениями, и специалисты предостерегали, что вредоносный код будет выполнен на уровне текущего процесса.
На прошлой неделе, в рамках октябрьского «вторника обновлений», проблема была исправлена и получила официальный идентификатор CVE-2018-8423. Однако теперь выясняется, что официальная «заплатка» не слишком эффективна.
Как мы уже писали ранее, еще до релиза официального исправления об опасной 0-day проблеме позаботились сторонние специалисты — инженеры компании Acros Security. Патчи для CVE-2018-8423 были представлены в составе их продукта 0patch. 0patch – это платформа, предназначенная как раз для таких ситуаций, то есть исправления 0-day и других непропатченных уязвимостей, для поддержки продуктов, которые уже не поддерживаются производителями, кастомного софта и так далее.
Теперь CEO Acros Security Митя Колсек (Mitja Kolsek) предостерегает, что выпущенный Microsoft патч неполон, и эксплуатировать оригинальную уязвимость по-прежнему возможно. Разработчики 0patch выпустили еще один микропатч для уязвимости в JET, и в блоге компании Колсек пока не вдается в технически детали, но пишет:
«На данный момент можем сообщить лишь то, что мы обнаружили, что официальное исправление немного отличается от нашего микропатча и, к сожалению, оно лишь ограничивает уязвимость, но не устраняет ее. Мы безотлагательно уведомили об этом Microsoft и не станем раскрывать дальнейшие детали или proof-of-concept до тех пор, пока они не выпустят корректный патч».
Впрочем, есть и хорошие новости. Так, согласно данным Microsoft, в настоящее время эта уязвимость не используется злоумышленниками, и даже если хакеры заходят эксплуатировать данный баг, создать эксплоит будет непросто.
