零日漏洞：Windows Jet資料庫引擎漏洞允許遠端執行程式碼
在120天的披露限制通過後，趨勢科技的Zero Day Initiative（ZDI）釋出了有關微軟JET資料庫引擎中尚未修補的零日漏洞的詳細資訊。
正如ZDI所解釋的那樣，Microsoft Windows Jet資料庫引擎中發現的 ofollow,noindex">零日漏洞 可能允許攻擊者在任何易受攻擊的軟體安裝上遠端執行程式碼。
研究團隊發現的缺陷存在於JET資料庫引擎的索引管理中，並且執行緒參與者可以通過特製的JET資料庫檔案來利用它，該檔案旨在激發遠端寫入導致遠端執行程式碼。
幸運的是，在沒有使用者互動的情況下，攻擊者無法利用漏洞，因為成功的攻擊需要以惡意資料庫檔案為起點，而這是壞參與者無法自動化的事情。
微軟此前已在9月修補了兩個緩衝區溢位漏洞（即CVE-2018-8392和CVE-2018-8393），但尚未針對ZDI發現的遠端程式碼執行漏洞引入補丁。
在120天的披露時間表到期後，該漏洞已被公開披露
趨勢科技的Zero Day Initiative最初在5月8日報告了零日RCE漏洞並得到了回覆，確認微軟已於5月14日成功複製了該問題。
然而，由於內部問題，微軟推遲了補丁，並且在ZDI在9月10日提醒他們漏洞的零日潛力後，安全研究團隊在9月20日公開發布了一份諮詢報告。
“我們的調查已經證實Windows 7中存在此漏洞，但我們認為所有受支援的Windows版本都受到此錯誤的影響，包括伺服器版本，”ZDI的Simon Zuckerbraun表示。
作為緩解建議，趨勢科技建議可能受影響的所有使用者僅使用從受信任來源收到的檔案。
ZDI還提到微軟正在開發一個補丁來解決這個問題，該補丁可以包含在Redmond的10月補丁版本中。
Linux公社的RSS地址 ： https://www.linuxidc.com/rssFeed.aspx
本文永久更新連結地址： https://www.linuxidc.com/Linux/2018-09/154304.htm