Microsoft发布了一个Internet Explorer零日漏洞的带外修补程序，该漏洞在野外攻击中被利用。

　　跟踪为CVE-2019-1367的漏洞是存在于Internet Explorer脚本引擎中的内存损坏漏洞，它影响内存中对象的处理方式。

　　“脚本引擎处理Internet Explorer内存中对象的方式存在远程代码执行漏洞。该漏洞可能会损坏内存，从而使攻击者能够在当前用户的上下文中执行任意代码。”Microsoft发布的安全顾问如是说。“成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，则成功利用此漏洞的攻击者可以控制受影响的系统。然后，攻击者可以安装程序;查看、更改或删除数据;或创建具有完全用户权限的新帐户。“

　　攻击者可以利用此漏洞获得与当前用户相同的权限，如果当前用户获得管理权限，则此攻击可能非常严重。

　　为了利用此漏洞，攻击者可以宿主精心编制的网站，该网站旨在在Internet Explorer用户访问时触发此漏洞。攻击者只需诱骗受害者访问恶意网站，例如，通过电子邮件或支持嵌入脚本引擎内容的恶意电子邮件附件(HTML文件、PDF文件、Microsoft Office文档)向受害者发送指向恶意网站的链接。

　　谷歌威胁分析小组(TAG)的克莱门特·莱基恩(Clément Lecigne)报告了该漏洞。今年早些时候，Lecigne报告了两个零日漏洞，一个是Google Chrome(CVE-2019-5786)中的释放后使用漏洞，另一个是Microsoft Windows(CVE-2019-0808)中的权限提升漏洞，这两个漏洞在野外被一起利用。

　　Lecigne和谷歌的Tag没有透露这次攻击的技术细节。

　　微软还为32位和64位系统提供了解决方案，这家科技巨头建议限制对j.dll文件的访问。管理员可以通过命令提示符执行此操作。微软警告称，解决方案是可逆的，因此只能用作临时解决方案。