Исследователь в области безопасности Джон Пейдж (@hyp3rlinx) сообщил о zero-day уязвимости в Windows, которая при определенных обстоятельствах может позволить атакующему выполнить произвольный код на компьютерах под управлением этой операционной системы.
Эксперт уведомил компанию Microsoft о проблеме через программу Zero Day Initiative (ZDI) от компании Trend Micro еще 6 месяцев назад. Однако корпорация на данный момент не спешит устранять уязвимость.
Брешь пока даже не получила идентификатор CVE, но уже известно, что она присутствует в механизме обработки файлов формата vCard, который поддерживает Microsoft Outlook.
По словам Пейджа, злоумышленник может создать специальный вредоносный файл VCard, а затем отправить жертве ссылку по электронной почте.
На опубликованном ниже видео можно посмотреть на демонстрацию эксплуатации этого бага:
Как можно понять из видео, если пользователь кликнет на ссылку, Windows запустит вредоносную составляющую без всяких уведомлений.
«Специально созданная вредоносная составляющая в файле VCard замаскирована под гиперссылку. Пользовательский интерфейс при этом не выводит никаких предупреждений. Таким образом, злоумышленник может выполнить код в контексте текущего юзера», — пишет в своем отчете Пейдж.
