jscript.dll - ActiveXObject BSTR - Use After Free

भेद्यता

मेमोरी को मुक्त करने के बाद उसे संदर्भित करने से प्रोग्राम क्रैश हो सकता है, अप्रत्याशित मानों का उपयोग हो सकता है, या कोड निष्पादित हो सकता है।

भेद्यता विवरण

इंटरनेट एक्सप्लोरर में स्क्रिप्टिंग इंजन द्वारा मेमोरी में ऑब्जेक्ट्स को संभालने के तरीके में एक दूरस्थ कोड निष्पादन भेद्यता मौजूद है। यह भेद्यता मेमोरी को इस तरह दूषित कर सकती है कि हमलावर वर्तमान उपयोगकर्ता के संदर्भ में मनमाना कोड निष्पादित कर सके। जो हमलावर सफलतापूर्वक इस भेद्यता का शोषण करता है, वह वर्तमान उपयोगकर्ता के समान उपयोगकर्ता अधिकार प्राप्त कर सकता है। यदि वर्तमान उपयोगकर्ता प्रशासनिक उपयोगकर्ता अधिकारों के साथ लॉग ऑन है, तो हमलावर सफलतापूर्वक भेद्यता का शोषण करके प्रभावित सिस्टम पर नियंत्रण प्राप्त कर सकता है। हमलावर तब प्रोग्राम इंस्टॉल कर सकता है; डेटा देख, बदल या हटा सकता है; या पूर्ण उपयोगकर्ता अधिकारों के साथ नए खाते बना सकता है।

CVE ID

CVE-2018-8389

विक्रेता

www.microsoft.com

उत्पाद

jscript.dll

खुलासा समयरेखा

1. 09 जनवरी 2018 - विक्रेता को रिपोर्ट किया
2. 14 अगस्त 2018 - सलाह का समन्वित सार्वजनिक विमोचन

श्रेय

Sudhakar Verma and Ashfaq Ansari - Project Srishti

विक्रेता सलाह

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8389