В Internet Explorer исправлена уязвимость нулевого дня

Во вторник, 12 ноября, Microsoft выпустила плановые ежемесячные обновления безопасности для своих продуктов. В общей сложности они исправляют 74 уязвимости, в том числе 13 критических. Одна из уязвимостей уже активно эксплуатируется киберпреступниками в реальных атаках.

Уязвимость нулевого дня ( CVE-2019-1429 ) была исправлена в скриптовом движке Internet Explorer. Проблема связана с тем, как движок обрабатывает объекты в памяти браузера, и позволяет удаленно выполнить код.

Поскольку уязвимость находится в скриптовом движке, она затрагивает не только Internet Explorer, но и приложения Microsoft Office, где он используется для отображения web-контента внутри встраиваемых фреймов. Злоумышленник может создать вредоносный документ Office и с его помощью выполнить вредоносный код на атакуемой системе, если жертва даст разрешение на отображение расширенного контента.

Атаки с использованием вышеописанной уязвимости были обнаружены сразу тремя различными организациями – iDefense Labs, Resecurity и Google (Project Zero и Threat Analysis Group), что свидетельствует о внушительных масштабах атак. Однако ни одна из трех компаний пока не представила никаких подробностей.

Помимо прочего, Microsoft исправила загадочную уязвимость (CVE-2019-16863) в Trusted Platform Module (TPM). По некоторым причинам, производитель пока держит подробности о ней в тайне. Судя по всему, проблема весьма серьезная и позволяет скомпрометировать TPM – микроконтроллеры, подтверждающие подлинность аппаратного обеспечения в процессе загрузки компьютера.