Microsoft har släppt en extra säkerhetsbulletin (CVE-2018-8653) för en "0-day"-sårbarhet i Internet Explorer. [1]

Sårbarheten orsakas av hur skriptmotorn hanterar objekt i minnet. Detta kan utnyttjas av en angripare, där användaren måste luras att besöka en hemsida som utnyttjar sårbarheten, till att köra godtycklig kod - med samma privilegier som den inloggade användaren besitter.

Användare som har Windows Update påslaget och har installerat senaste uppdateringen är skyddade mot sårbarheten.

Påverkade produkter

Sårbarheten bedöms kritisk för Windows 10, Windows 8.1 och Windows RT 8.1 samt Windows 7.

Sårbarheten bedöms måttlig för Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 och Windows Server 2019.

På Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 och Windows Server 2019 körs Internet Explorer med Enhanced Security påslaget per default. Enhanced Security-konfigurationen är en grupp förkonfigurerade inställningar som reducerar sannolikheten att en användare eller administratör kör nerladdad webinnehåll på en server.

Rekommenderad åtgärd

CERT-SE rekommenderar användare att installera uppdateringen snarast möjligt.

Uppdatering 2018-12-27

Microsoft har gått ut med att problem kan uppstå efter installation av "out-of-band"-rättning(CVE-2018-8653)

Följande problem har uppstått på Windows 10, version 1607, samt Windows Server 2016
- Vissa typer av Lenovos bärbara datorer, med mindre än 8 GB RAM, kan få problem med uppstart
- Klustertjänsten kan misslyckas med att startas när Group Policy “Minimum Password Length” är konfigurerad att vara längre än 14 tecken
- I Windows Server 2016 misslyckas snabbsökningen i Microsoft Outlook-klienten
- System Center Virtual Machine Manager (SCVMM) har problem efter en uppdatering av VMM
- Efter installation av .NET Framework August 2018 Preview of Quality Rollup eller .NET Framework September 2018 Security and Quality Rollup kan instanser av SqlConnection skapa felmeddelande

För mera information gällande uppdateringar och åtgärder se information från Microsoft [2]

Källor

[1] https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8653
[2] https://support.microsoft.com/en-us/help/4483229/december192018kb4483229osbuild143932670