ناقص بودن وصله ارائه شده توسط مایکروسافت برای آسیب‌پذیری روز صفر در JET باعث شد که 0patch وصله کامل‌تری برای این نقص امنیتی عرضه کند.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، مایکروسافت هفته گذشته وصله‌ای برای یک آسیب‌پذیری روز صفر در موتور پایگاه‌ داده JET ارائه کرد، اما به گفته پژوهشگران 0patch، این وصله ناقص است. 0patch، روز جمعه یک وصله برای آن ارائه کرد که حفره موجود را می‌پوشاند.

این نقص یک آسیب‌پذیری خرابی حافظه (CVE-2018-8423) است که به مهاجم اجازه اجرا کد دلخواه می‌دهد. آسیب‌پذیری توسط Trend Micro کشف شده است.

نقص موجود یک نوشتن خارج از محدوده یا Out-of-bounds است که در موتور پایگاه‌داده JET وجود دارد. این موتور زمینه Microsoft Access و نرم‌افزار Visual Basic است و جایگزینی کمتر شناخته‌شده برای SQL Server است.

به‌دلیل اینکه آسیب‌پذیری قبل از ارائه وصله آن به عنوان یک نقص روز صفر منتشر شده‌است، 0patch یک روز پس از انتشار آن، یک micropatch برای آن ارائه کرد. اکنون نیز یک micropatch دیگر برای اصلاح وصله رسمی ارائه شده‌است. مشکل به‌وجود آمده در یکی از DLLهای هسته ویندوز یعنی msrd۳x۴۰.dll وجود دارد.

پس ارائه وصله رسمی توسط مایکروسافت، نسخه msrd3x40.dll از ۴,۰.۹۸۰۱.۰ به ۴.۰.۹۸۰۱.۵ تغییر کرده‌است و همچنین Hash رمزنگاری آن نیز تغییر کرده‌است، درنتیجه وصله غیررسمی ابتدایی ارائه‌شده توسط 0patch دیگر روی msrd4x40.dll اعمال نمی‌شود. 0patch تفاوت‌هایی را بین وصله رسمی micropatch خود یافته‌است و به گفته آنها، وصله ارائه‌شده تنها امکان محدود کردن آسیب‌پذیری را دارد و آن را برطرف نمی‌کند.

0patch، مایکروسافت را نسبت به این موضوع آگاه و اعلام کرده‌است که تا زمان ارائه به‌روزرسانی رسمی، جزییات کد اثبات مفهومی را منتشر نخواهدکرد.

Micropatch ارائه‌شده نسخه‌های نهایی ۳۲ بیتی و ۶۴ بیتی ویندوزهای ۱۰، ۸,۱، ۷، سرور ۲۰۰۸ و سرور ۲۰۱۲ و همچنین نسخه‌های ویندوزی را اصلاح می‌کند که از همان نسخه msrd3x40.dll بهره می‌گیرند.