CVE-2006-2492
Microsoft Word Malformed Object Pointer Vulnerability
Beschreibung
CVE-2006-2492 ist eine Schwachstelle in Microsoft Word und Microsoft Works Suites, die durch einen fehlerhaften Objektzeiger (Malformed Object Pointer) verursacht wird. Ein Angreifer kann ein manipuliertes Word-Dokument erstellen, das beim Öffnen durch das Opfer die Ausführung von beliebigem Code mit den Rechten des angemeldeten Benutzers ermöglicht. Die Schwachstelle wurde von CISA in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, was die aktive Ausnutzung in der Praxis bestätigt. Mit einem EPSS-Perzentil von 99,3 % gehört CVE-2006-2492 zu den am häufigsten ausgenutzten Sicherheitslücken.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office | 2000; 2003; xp |
| microsoft | works suite | >= 2000, <= 2006 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://blogs.technet.com/msrc/archive/2006/05/19/429353.aspx(Broken Link)
- http://isc.sans.org/diary.php?storyid=1345(Exploit)
- http://isc.sans.org/diary.php?storyid=1346(Exploit)
- http://secunia.com/advisories/20153(Broken Link, Patch, Vendor Advisory)
- http://securitytracker.com/id?1016130(Broken Link, Third Party Advisory, VDB Entry)
- http://www.kb.cert.org/vuls/id/446012(Third Party Advisory, US Government Resource)
- http://www.microsoft.com/technet/security/advisory/919637.mspx(Broken Link, Patch, Vendor Advisory)
- http://www.osvdb.org/25635(Broken Link)
- http://www.securityfocus.com/bid/18037(Broken Link, Patch, Third Party Advisory, VDB Entry)
- http://www.us-cert.gov/cas/techalerts/TA06-139A.html(Broken Link, Third Party Advisory, US Government Resource)
- http://www.us-cert.gov/cas/techalerts/TA06-164A.html(Broken Link, Third Party Advisory, US Government Resource)
- http://www.vupen.com/english/advisories/2006/1872(Broken Link)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2006/ms06-027(Patch, Vendor Advisory)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/26556(Third Party Advisory, VDB Entry)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A1418(Broken Link)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A1738(Broken Link)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A2068(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2006-2492(US Government Resource)
Schwachstellentyp
Für CVE-2006-2492 ist kein spezifischer CWE-Typ in der NVD-Datenbank zugeordnet. Die Schwachstelle basiert auf einem fehlerhaften Objektzeiger in der Dokumentverarbeitungs-Engine von Microsoft Word. Beim Parsen eines manipulierten Dokuments wird ein korrumpierter Objektverweis verarbeitet, der auf angreiferkontrollierten Speicher zeigt und die Ausführung von beliebigem Code ermöglicht. Diese Schwächenklasse fällt in den Bereich der unsicheren Speicherverarbeitung und fehlerhaften Zeigerhandhabung.
Auswirkungsanalyse
CVE-2006-2492 ermöglicht Remote Code Execution über ein manipuliertes Microsoft-Word-Dokument. Die Schwachstelle erfordert eine Benutzerinteraktion (das Öffnen des Dokuments), benötigt jedoch keine Authentifizierung seitens des Angreifers. Vertraulichkeit: Bei erfolgreicher Ausnutzung erhält der Angreifer Zugriff auf alle Dateien und Daten, die dem aktuellen Benutzer zugänglich sind, einschließlich vertraulicher Dokumente, Anmeldedaten und E-Mails. Integrität: Durch die Codeausführung können Backdoors installiert, Dateien manipuliert und Systemeinstellungen verändert werden. Verfügbarkeit: Der Angreifer kann destruktive Payloads oder Ransomware einsetzen und damit den Systembetrieb massiv beeinträchtigen. Mit einem EPSS-Perzentil von 99,3 % besteht eine nahezu sichere Ausnutzungswahrscheinlichkeit, die sofortige Gegenmaßnahmen erfordert.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2006-2492 bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 22. Juni 2022. Das EPSS-Perzentil von 99,3 % ordnet diese Schwachstelle unter die am häufigsten ausgenutzten Sicherheitslücken ein. Angesichts des Alters der Schwachstelle (2006) und ihrer Verbreitung in einer weit genutzten Office-Anwendung sind die Exploit-Techniken gut dokumentiert und leicht zugänglich, was sie zu einem zuverlässigen Werkzeug für Angreifer gegen ungepatchte Systeme macht.
Behebung
- Updates gemäß Herstelleranweisungen anwenden, wie im CISA-KEV-Katalog gefordert. Alle verfügbaren Microsoft-Sicherheitspatches für Microsoft Word und Microsoft Works Suites installieren.
- Auf eine aktuelle Version von Microsoft Office upgraden, die von dieser Schwachstelle nicht mehr betroffen ist. Angesichts des Alters dieser Sicherheitslücke beseitigt die Migration auf eine moderne, unterstützte Office-Version dieses und zahlreiche weitere Legacy-Probleme.
- Dokument-Sandboxing implementieren, indem die geschützte Ansicht (Protected View) in Microsoft Office aktiviert wird. Dateien aus nicht vertrauenswürdigen Quellen werden dadurch in einer eingeschränkten Umgebung geöffnet, die Codeausführung verhindert.
- E-Mail- und Web-Gateway-Filterung einrichten, um verdächtige Word-Dokumente zu blockieren oder in Quarantäne zu verschieben. Insbesondere Anhänge von externen oder unbekannten Absendern sollten gescannt werden.
- Benutzer über dokumentbasierte Angriffe schulen und Richtlinien gegen das Öffnen unerwarteter oder unaufgeforderter Word-Dokumente, insbesondere aus unbekannten E-Mail-Quellen, etablieren.
Technische Details
CVE-2006-2492 nutzt einen fehlerhaften Objektzeiger innerhalb der Dokumentverarbeitungs-Engine von Microsoft Word aus. Beim Verarbeiten eines speziell präparierten Dokuments stößt Word auf einen korrumpierten Objektverweis, der auf angreiferkontrollierten Speicher zeigt. Die Anwendung folgt diesem Zeiger während des normalen Dokument-Renderings, was zur Ausführung von beliebigem Code im Kontext des Word-Prozesses führt. Da Microsoft Word historisch mit den vollständigen Rechten des aktuellen Benutzers ausgeführt wurde, gewährt eine erfolgreiche Ausnutzung dem Angreifer dieselbe Zugriffsebene. Die Schwachstelle betrifft die zentrale Dokumentformat-Parsing-Funktionalität, weshalb jede Methode zum Öffnen eines manipulierten Dokuments (direktes Öffnen, E-Mail-Anhang, eingebettetes OLE-Objekt) den Exploit auslösen kann.
Häufig gestellte Fragen
Wird CVE-2006-2492 aktiv ausgenutzt?
Ja, CVE-2006-2492 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 22. Juni 2022. Das EPSS-Perzentil von 99,3 % bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2006-2492 betroffen?
Von CVE-2006-2492 sind Microsoft Word und Microsoft Works Suites betroffen. Diese Produkte enthalten einen fehlerhaften Objektzeiger, der bei der Verarbeitung manipulierter Dokumente die Ausführung von beliebigem Code ermöglicht.
Wie behebe ich CVE-2006-2492?
Installieren Sie alle verfügbaren Microsoft-Sicherheitsupdates für die betroffenen Produkte. Die effektivste Behebung ist das Upgrade auf eine aktuelle, unterstützte Version von Microsoft Office. Als Sofortmaßnahmen sollten die geschützte Ansicht aktiviert, E-Mail-Filterung für verdächtige Office-Dokumente eingerichtet und Benutzer über die Risiken beim Öffnen nicht vertrauenswürdiger Dateien geschult werden.
Wie schwerwiegend ist CVE-2006-2492?
CVE-2006-2492 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle mit einem EPSS-Perzentil von 99,3 %, was sie unter die am häufigsten ausgenutzten Sicherheitslücken einordnet. Eine erfolgreiche Ausnutzung gibt dem Angreifer die vollständige Kontrolle über das betroffene System mit den Rechten des aktuellen Benutzers.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.