Microsoft Jet RCE漏洞预警

2018-09-20 18:24:32
漏洞曝光时间:2018-09-20漏洞风险程度:高危漏洞曝光程度:已经公开受漏洞影响软件以及版本: Microsoft Jet Database Engine缓解或修复方案: 微软暂未发布修复补丁,建议未修复之前,不要打开不受信任来源的文件。漏洞描述: Untitled Microsoft Jet是微软针对文件型数据库所发展的数据库引擎(Database Engine),它的适用数据源种类相当多,
漏洞曝光时间:2018-09-20
漏洞风险程度:高危
漏洞曝光程度:已经公开
受漏洞影响软件以及版本:

Microsoft Jet Database Engine

缓解或修复方案:
微软暂未发布修复补丁,建议未修复之前,不要打开不受信任来源的文件。
漏洞描述:

Untitled

Microsoft Jet是微软针对文件型数据库所发展的数据库引擎(Database Engine),它的适用数据源种类相当多,像是Microsoft Access、Microsoft Excel、dBase等等文件型数据源都可以利用Microsoft Jet数据库引擎来使用SQL指令访问。
该漏洞是一种越界(OOB)写入漏洞,可以通过对象链接和嵌入数据库(OLEDB)的Microsoft组件打开Jet源来触发。要触发此漏洞,用户需要打开包含以JET数据库格式存储的数据的特制文件。漏洞概念验证代码:

var con = new ActiveXObject("ADODB.Connection");
con.Provider = "Microsoft.Jet.OLEDB.4.0";
con.ConnectionString = "Data Source=" + "group1";
con.Open();

具体的poc地址为:https://github.com/thezdi/PoC/tree/master/ZDI-18-1075

参考链接:
https://www.zerodayinitiative.com/blog/2018/9/20/zdi-can-6135-a-remote-code-execution-vulnerability-in-the-microsoft-windows-jet-database-engine

最新资讯