1 概述

2019年09月23日，微软发布了针对 Internet Explorer浏览器组件 jscript.dll 的漏洞修复补丁，该漏洞由Google威胁分析小组的安全研究员ClémentLecigne发现，成功利用此漏洞会破坏内存，使攻击者能够执行任意代码，攻击者可能会利用这个漏洞通过挂马网站的形式传播恶意代码。

Internet Explorer，是微软公司推出的一款网页浏览器，jscript.dll 是工作在 IE 中的脚本引擎。据调查机构Netmarketshare的浏览器占有率调查显示[1]，Internet Explorer的市场占有率为8.29%，综合其默认安装的特性和国内网民基数较大等原因，该漏洞的影响十分广泛。

图 Internet Explorer市场占有率

2 漏洞描述

漏洞编号：CVE-2019-1367

脚本引擎jscript.dll在处理内存对象的过程中，会触发内存损坏的漏洞，攻击者可能会通过电子邮件等方式说服或诱骗用户打开一个精心设计网页，以此来利用该漏洞，利用成功则可以在当前用户权限下执行任意代码。如果当前用户使用管理用户权限登录，则攻击者可以控制受影响的系统，并可进行安装程序、查看、更改、删除数据等进一步操作。

3 受影响范围

受影响范围：

4 可能的攻击风险演化

1) 从威胁框架角度，这是一个从接触目标与进攻突防角度具有高风险的可利用漏洞，该漏洞曝光前可能被超级网空威胁行为体在类似QUANTUM系统中，用于对高价值目标打点，对此需要进一步的排查分析。

2) 被APT攻击组织和黑产组织在定向攻击中用于占坑攻击。

3) 黑产攻击组织在已攻陷网站中构造攻击页面，大规模传播恶意代码，进行勒索、挖矿等非法活动。

4) 在APT攻击组织和黑产团伙控制流量侧环节，或入侵防火墙等，可能用于实现类似QUANTUM注入。

5 手工修复及缓解建议

1、 在32位操作系统中，可以通过以下命令限制对JScript.dll的访问：

               takeown /f %windir%\system32\jscript.dll

               cacls %windir%\system32\jscript.dll /E /P everyone:N

2、 在64位操作系统中，可以通过以下命令限制对JScript.dll的访问：

               takeown /f %windir%\syswow64\jscript.dll

               cacls %windir%\syswow64\jscript.dll /E /P everyone:N

               takeown /f %windir%\system32\jscript.dll

               cacls %windir%\system32\jscript.dll /E /P everyone:N

3、 安装漏洞补丁[2]，或卸载受影响的浏览器。

4、 将DEP配置从系统覆盖到全部应用，并将UAC设置等级调整到最高，可能有助于缓解本攻击影响。但需要进一步验证。

附录一：参考资料

[1] Market Share Statistics for Internet Technologies

https://www.netmarketshare.com

[2] CVE-2019-1367 | Scripting Engine Memory Corruption Vulnerability

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1367