CVE-2019-1034

Microsoft Word yazılımında, bellekteki nesnelerin uygun şekilde işlenememesi nedeniyle bir uzaktan kod çalıştırma zafiyeti bulunmaktadır. Zafiyeti başarıyla istismar eden bir saldırgan, özel olarak hazırlanmış bir dosya kullanarak mevcut kullanıcının güvenlik bağlamında işlemler gerçekleştirebilir. Örneğin dosya, oturum açmış kullanıcı adına, mevcut kullanıcı ile aynı izinlere sahip işlemler yapabilir. Zafiyetin istismar edilmesi için bir kullanıcının, etkilenen bir Microsoft Word yazılım sürümüyle özel olarak hazırlanmış bir dosyayı açması gerekir. Bir e-posta saldırı senaryosunda, bir saldırgan özel olarak hazırlanmış dosyayı kullanıcıya gönderip dosyayı açmaya ikna ederek zafiyeti istismar edebilir. Web tabanlı bir saldırı senaryosunda ise bir saldırgan, zafiyeti istismar etmek üzere tasarlanmış özel bir dosya içeren bir web sitesini barındırabilir (veya kullanıcı tarafından sağlanan içeriği kabul eden veya barındıran ele geçirilmiş bir web sitesinden yararlanabilir). Ancak, bir saldırganın kullanıcıyı web sitesini ziyaret etmeye zorlama imkanı yoktur. Bunun yerine saldırgan, genellikle bir e-posta veya Anlık Mesajlaşma mesajındaki bir yem aracılığıyla kullanıcıyı bir bağlantıya tıklamaya ve ardından özel olarak hazırlanmış dosyayı açmaya ikna etmelidir. Güvenlik güncelleştirmesi, Microsoft Word'ün dosyaları bellekte işleme yöntemini düzelterek zafiyeti gidermektedir.