0-day баг в Microsoft .NET Framework использовался для распространения малвари Finspy

Вчера, 12 сентября 2017 года, компания Microsoft представила патчи для восьмидесяти с лишним проблем, 39 из которых допускали выполнение произвольного кода. Среди устраненных проблем оказалась 0-day уязвимость, которая уже использовалась для фактических атак, а также три опасных бага, детальная информация о которых была опубликована до выхода патчей.

0-day уязвимость получила идентификатор CVE-2017-8759. Она позволяет удаленно выполнять произвольный код на уязвимом устройстве, эксплуатируя проблему в .NET Framework (а именно в парсере SOAP WSDL (Web Services Description Language). Баг обнаружили специалисты компании FireEye. После выхода патча они сообщили, что эту уязвимость, еще в июле 2017 года, начали использовать для распространения правительственной малвари FinFisher (вредонос также известен под названиями FINSPY и WingBird).

По данным экспертов, атаки осуществлялись на российских пользователей. Также стоит отметить, что это не первый случай в 2017 году, когда 0-day уязвимость в продукции Microsoft используется для распространения FinFisher. В апреле 2017 года таким образом эксплуатировали баг CVE-2017-0199 в Microsoft Office.

Также «вторник обновлений» устранил проблемы CVE-2017-9417 (RCE, затрагивающий HoloLens Broadcom чипсет), CVE-2017-8746 (обход Device Guard, позволяющий осуществить инъекции кода в сессии PowerShell), а также CVE-2017-8723 (обход CSP в Microsoft Edge). Информация об этих уязвимостях уже была опубликована ранее, но, к счастью, взять на вооружение и эти баги преступники не успели.

Стоит отметить, что обход CSP в Microsoft Edge отличается от похожей проблемы, на которую на прошлой неделе обратили внимание специалисты Cisco Talos. Ту уязвимость Microsoft исправлять не планирует.

Источник