近期，Telspace Systems公司的安全研究專家Dmitri Kaslov在Windows操作系統(tǒng)的JScript組件存在漏洞，而這個漏洞將允許攻擊者在目標(biāo)主機(jī)上執(zhí)行惡意代碼。在今年的一月份，Kaslov通過趨勢科技Zero-      Day Initiative（ZDI）服務(wù)發(fā)現(xiàn)了這個0 day漏洞，并通過ZDI的安全專家將漏洞信息上報給了微軟團(tuán)隊。

      而在四個月之后，微軟才正式發(fā)布了一個更新補丁來修復(fù)這個漏洞。

      ZDI通常會等待120天左右的時間才會披露相關(guān)漏洞的細(xì)節(jié)信息，根據(jù)ZDI發(fā)布的官方安全公告：

      “該漏洞允許攻擊者在目標(biāo)Windows主機(jī)中執(zhí)行任意代碼，在利用該漏洞的過程中，攻擊者需要想辦法與用戶進(jìn)行交互，并讓他們訪問某個惡意頁面或打開某個惡意文件。這個漏洞是由于Jscript對Error對象處理不當(dāng)所導(dǎo)致的。      通過在腳本文件中執(zhí)行惡意代碼，攻擊者可以在指針被釋放之后重用目標(biāo)指針。因此，攻擊者將能夠利用該漏洞在當(dāng)前進(jìn)程環(huán)境下執(zhí)行任意代碼。”

      目前，該漏洞的CVSSv2嚴(yán)重等級評估為6.8分（10）。

      在利用該漏洞實施攻擊的過程中，攻擊者需要欺騙用戶訪問特定的惡意Web頁面，或在主機(jī)中下載并打開惡意JS文件。

      但好消息是，這個漏洞并不能幫助攻擊者獲取到目標(biāo)主機(jī)的完整控制權(quán)，因為攻擊者只能在沙箱環(huán)境中執(zhí)行他們的惡意代碼。當(dāng)然了，攻擊者還可以結(jié)合其他的沙箱繞過技術(shù)并在目標(biāo)主機(jī)環(huán)境中執(zhí)行他們的惡意代碼。

      不管怎樣，微軟團(tuán)隊正在努力解決這個問題，請大家不用太過擔(dān)心。

      漏洞時間軸

      2018年01月23日：ZDI將漏洞信息提交給廠商；

      2018年01月23日：廠商拿到漏洞信息，并分配了事件編號；

      2018年04月23日：廠商回復(fù)稱，在沒有PoC的情況下他們很難復(fù)現(xiàn)該漏洞；

      2018年04月24日：ZDI重新發(fā)送了最新的PoC；

      2018年05月01日：廠商收到了PoC；

      2018年05月08日：廠商要求獲取額外的PoC擴(kuò)展；

      2018年05月29日：ZDI決定在5月29日發(fā)布關(guān)于這個0 day漏洞的相關(guān)信息。

      ZDI表示，目前還沒有觀察到有攻擊者在真實場景中利用該漏洞實施攻擊。

      小編相信大家關(guān)系的都是該漏洞是否已經(jīng)解決？根據(jù)小編查到的信息，Gorenc 表示，微軟正在推出補丁，還未解決。而ZDI 專家建議用戶不要使用依靠 JScript 組件的應(yīng)用如 IE 瀏覽器、wscript.exe 等來處理不受信任的 JS 代碼或文件。