Bahare Sabouri

**Nome do software vulnerável e versões afetadas** Versões do Agendador de Tarefas do Windows anteriores à versão corrigida na atualização de segurança de novembro **Descrição** A vulnerabilidade é um problema de elevação de privilégios no Agendador de Tarefas do Windows, permitindo que invasores elevem seus privilégios para o nível de Integridade Média e obtenham a capacidade de executar funções RPC restritas a contas privilegiadas. Essa vulnerabilidade já foi explorada em ambiente real, com o grupo RomCom executando código malicioso fora da sandbox do Firefox e lançando malware a partir de servidores C&C. O ataque pode ser realizado a partir de um ambiente restrito do AppContainer. **Recomendações** Para resolver o problema, aplique o patch lançado na Patch Tuesday de novembro para o Agendador de Tarefas do Windows. Como solução alternativa temporária, considere restringir o acesso ao Agendador de Tarefas até que um patch seja aplicado. Evite usar o Agendador de Tarefas para executar funções RPC restritas a contas privilegiadas até que o problema seja resolvido. Aplique as atualizações de segurança mais recentes para impedir a exploração desta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Microsoft Office and Windows versions (affected versions not specified) **Description** This issue is a remote code execution vulnerability affecting Microsoft Office and Windows systems. It stems from flaws in how input data is processed, specifically related to Office and Windows HTML. Successful exploitation allows attackers to execute arbitrary code remotely, potentially impacting the system. The vulnerability has been actively exploited in the wild by threat actors, including the RomCom (Storm-0978) group, who have used it to deploy Underground Ransomware. The vulnerability allows attackers to bypass Mark of the Web (MOTW) defenses. The exploitation involves a complex chain, potentially utilizing .search-ms files and CHM files. The vulnerability was initially identified as CVE-2023-36884 and has been exploited in targeted attacks against organizations in Europe and North America. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.