Vakava haavoittuvuus Windowsin JET Database Engine -ohjelmistossa

Haavoittuvuus21/2018

Microsoft Windows JET Database Enginestä on löytynyt vakava haavoittuvuus, jolle on julkaistu ohjelmistopäivitys. Haavoittuvuuden hyväksikäyttömenetelmä (PoC) on julkisesti saatavilla.

Microsoft Windows JET -tietokantamoottoria käytetään useiden Microsoft-sovellusten pohjana, esimerkiksi Microsoft Office Access -ohjelmistoissa.

Haavoittuvuuden avulla hyökkääjän on mahdollista suorittaa omaa ohjelmakoodia tai käskyjä kohdejärjestelmässä kirjautuneen käyttäjän oikeustasolla.

Haavoittuvuuden hyväksikäyttäminen vaatii haitallisen JET database -muotoisen tiedoston avaamisen uhrin koneella tai vierailun haitallisella sivustolla.

Kohde

  • Työasemat ja loppukäyttäjäsovellukset
  • Palvelimet ja palvelinsovellukset

Hyökkäystapa

  • Paikallisesti

Vaikutukset

  • Komentojen mielivaltainen suorittaminen

Ratkaisu

  • Ongelman rajoittaminen
  • Ei päivitystä

Haavoittuvat ohjelmistot

Microsoft Windows Jet Database Engine

Ratkaisu- ja rajoitusmahdollisuudet

  • Asenna korjaava ohjelmistopäivitys.
  • Haavoittuvuuden löytäjät ja Viestintävirasto suosittelevat tarkkaavaisuutta tuntemattomien tiedostojen käsittelyssä.

Lisätietoja

Alkuperäinen haavoittuvuustiedote julkaistu 21.9.2018 21.09.2018 klo 14:49 Korjattu kieliasua 10.10.2018 klo 13:44 Microsoft on julkaissut päivityksiä haavoittuvuuteen lokakuussa 2018.