CVE-2008-0015
Microsoft Windows Video ActiveX Control Remote Code Execution Vulnerability
Beschreibung
CVE-2008-0015 ist eine Stack-basierte Buffer-Overflow-Schwachstelle im Microsoft Video ActiveX Control (msvidctl.dll) in DirectShow. Die Schwachstelle ermoeglicht es einem entfernten Angreifer, ueber eine speziell praeparierte Webseite beliebigen Code auf dem System des Opfers auszufuehren. Microsoft hat bestaetigt, dass diese Schwachstelle aktiv in freier Wildbahn ausgenutzt wurde. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 95,82 % (99,81. Perzentil) gehoert CVE-2008-0015 zu den am intensivsten ausgenutzten Schwachstellen ueberhaupt. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 10. Maerz 2026. Betroffen sind Windows XP, Windows Server 2003, Windows Vista und Windows Server 2008.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 2003 server | - |
| microsoft | windows xp | - |
Referenzen
- http://blogs.technet.com/srd/archive/2009/08/11/ms09-037-why-we-are-using-cve-s-already-used-in-ms09-035.aspx(Broken Link)
- http://isc.sans.org/diary.html?storyid=6733(Exploit)
- http://osvdb.org/55651(Broken Link)
- http://secunia.com/advisories/36187(Broken Link)
- http://www.csis.dk/dk/nyheder/nyheder.asp?tekstID=799(Exploit)
- http://www.iss.net/threats/329.html(Exploit)
- http://www.kb.cert.org/vuls/id/180513(US Government Resource)
- http://www.microsoft.com/technet/security/advisory/972890.mspx(Vendor Advisory)
- http://www.securityfocus.com/bid/35558(Broken Link)
- http://www.securityfocus.com/bid/35585(Broken Link)
- http://www.securitytracker.com/id?1022514(Broken Link)
- http://www.us-cert.gov/cas/techalerts/TA09-187A.html(US Government Resource)
- http://www.us-cert.gov/cas/techalerts/TA09-195A.html(US Government Resource)
- http://www.us-cert.gov/cas/techalerts/TA09-223A.html(US Government Resource)
- http://www.vupen.com/english/advisories/2009/2232(Broken Link)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-032(Third Party Advisory)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-037(Third Party Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A6333(Broken Link)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A6363(Broken Link)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A7436(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2008-0015(US Government Resource)
Schwachstellentyp
CWE-119: Buffer Overflow
Die primaere Klassifikation ist CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer). Diese uebergeordnete Schwachstellenklasse beschreibt Fehler, bei denen Software Operationen auf einem Speicherpuffer durchfuehrt, ohne die Grenzen dieses Puffers korrekt zu pruefen.
CWE-121: Stack-based Buffer Overflow
Die spezifischere Klassifikation ist CWE-121 (Stack-based Buffer Overflow). Bei einem Stack-basierten Buffer Overflow werden Daten ueber die Grenzen eines auf dem Stack allozierten Puffers hinaus geschrieben. Da auf dem Stack auch Ruecksprungadressen und Funktionszeiger gespeichert werden, kann ein Angreifer durch gezieltes Ueberschreiben dieser Werte den Programmfluss umlenken und beliebigen Code ausfuehren. Stack-basierte Buffer Overflows gelten als besonders zuverlaessig ausnutzbar, da der Aufbau des Stacks vorhersagbar ist.
Auswirkungsanalyse
Vollstaendige Systemkompromittierung durch Webseitenbesuch: Die schwerwiegendste Auswirkung ist die Moeglichkeit der Remote Code Execution durch den blossen Besuch einer manipulierten Webseite. Der Angreifer erhaelt die gleichen Berechtigungen wie der angemeldete Benutzer, was bei vielen Windows-XP-Systemen dem Administrator entspricht. Vertraulichkeit (C:H) - Der Angreifer kann auf alle Dateien und Daten zugreifen, die dem Benutzer zugaenglich sind. Integritaet (I:H) - Schadsoftware kann installiert, Systemdateien manipuliert und Backdoors eingerichtet werden. Verfuegbarkeit (A:H) - Das System kann vollstaendig uebernommen oder zerstoert werden.
Angriffsszenario: Die Benutzerinteraktion (UI:R) beschraenkt sich auf den Besuch einer Webseite im Internet Explorer. Angreifer koennen dies durch Phishing-E-Mails, kompromittierte Werbeanzeigen (Malvertising) oder die Kompromittierung legitimer Webseiten erreichen. Da keine weitere Interaktion erforderlich ist, genuegte ein einziger Klick auf einen schaedlichen Link.
Historische Bedeutung: CVE-2008-0015 wurde als Zero-Day-Schwachstelle in gezielten Angriffen ausgenutzt, bevor Microsoft einen Patch bereitstellen konnte. Dies machte die Schwachstelle zu einem effektiven Werkzeug fuer Drive-by-Download-Angriffe.
Exploit-Reifegrad
CVE-2008-0015 weist die hoechstmoegliche Exploit-Reife auf. Microsoft hat offiziell bestaetigt, dass die Schwachstelle als Zero-Day aktiv ausgenutzt wurde, bevor ein Patch verfuegbar war. Der EPSS-Score von 95,82 % (99,81. Perzentil) ist einer der hoechsten ueberhaupt und zeigt, dass diese Schwachstelle zu den am intensivsten ausgenutzten 0,2 % aller bekannten Schwachstellen gehoert.
Exploit-Verfuegbarkeit: Funktionsfaehige Exploits sind seit ueber einem Jahrzehnt oeffentlich verfuegbar. Die Schwachstelle war eines der prominentesten Beispiele fuer ActiveX-basierte Angriffe ueber den Internet Explorer. Der Exploit nutzt speziell praeparierte HTML-Seiten, die das verwundbare Video ActiveX Control laden und den Buffer Overflow ausloesen.
Historischer Kontext: Microsoft veroeffentlichte die Schwachstelle im Rahmen des Security Bulletins MS09-032. Das CERT/CC dokumentierte die Schwachstelle unter VU#180513. Die Aufnahme in den CISA KEV-Katalog mit einer Frist bis 2026 zeigt, dass trotz des Alters der Schwachstelle noch immer verwundbare Systeme existieren.
Ransomware-Verbindung: Der Ransomware-Status ist als Unknown klassifiziert. Aufgrund des Alters der Schwachstelle und der breiten Exploit-Verfuegbarkeit ist es sehr wahrscheinlich, dass sie in verschiedensten Angriffskampagnen, einschliesslich Ransomware, eingesetzt wurde.
Behebung
Microsoft Security Update MS09-032 installieren: Installieren Sie das Security Bulletin MS09-032, das einen Kill-Bit fuer das verwundbare ActiveX Control setzt. Dieses Update verhindert, dass der Internet Explorer das anfaellige msvidctl.dll-Control laedt. Auf Systemen mit aktuellen Windows-Updates ist dieser Patch laengst enthalten.
Betriebssystem-Migration planen: Die betroffenen Betriebssysteme (Windows XP, Server 2003, Vista, Server 2008) haben allesamt ihr End-of-Life erreicht und erhalten keine Sicherheitsupdates mehr. Die dringendste Empfehlung ist die Migration auf ein aktuell unterstuetztes Betriebssystem (Windows 10/11 oder Windows Server 2019/2022). Legacy-Systeme, die nicht migriert werden koennen, sollten vollstaendig vom Netzwerk isoliert werden.
ActiveX-Controls deaktivieren: Als zusaetzliche Schutzmassnahme sollten ActiveX-Controls im Internet Explorer generell deaktiviert werden, falls der Browser noch eingesetzt wird. Besser ist der Umstieg auf einen modernen Browser wie Microsoft Edge, Chrome oder Firefox, die ActiveX nicht unterstuetzen und somit diese Angriffsflaeche eliminieren.
Netzwerkisolation fuer Legacy-Systeme: Falls betroffene Systeme nicht sofort migriert werden koennen, muessen sie in einem isolierten Netzwerksegment ohne Internetzugang betrieben werden. Implementieren Sie Anwendungs-Whitelisting, um die Ausfuehrung nicht autorisierter Programme zu verhindern.
Technische Details
Die Schwachstelle befindet sich im Microsoft Video ActiveX Control (CLSID: {0955AC62-BF2E-4CBA-A2B9-A63F772D46CF}), implementiert in der Bibliothek msvidctl.dll, die Teil von Microsoft DirectShow ist. Dieses ActiveX Control wird standardmaessig im Internet Explorer geladen, wenn eine Webseite es referenziert.
Ursache des Buffer Overflow: Das Video ActiveX Control verarbeitet bestimmte Eingabedaten, ohne die Groesse ausreichend zu validieren. Durch die Uebergabe speziell praeparierter Daten an das Control wird ein Puffer auf dem Stack ueberschrieben. Da der Stack neben den Daten auch Ruecksprungadressen (Return Addresses) und gespeicherte Frame-Pointer enthaelt, kann der Angreifer durch gezieltes Ueberschreiben dieser Werte die Kontrolle ueber den Programmfluss uebernehmen und beliebigen Code mit den Berechtigungen des aktuellen Benutzers ausfuehren.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert mit niedriger Komplexitaet, erfordert keine Privilegien, aber eine Benutzerinteraktion (Besuch einer Webseite). Der Scope ist unveraendert, aber alle drei Schutzziele sind maximal betroffen.
Betroffene Systeme: Windows XP (alle Editionen), Windows Server 2003 (alle Editionen), Windows Vista (alle Editionen) und Windows Server 2008 (alle Editionen). Neuere Windows-Versionen sind nicht betroffen, da das anfaellige ActiveX Control entweder nicht mehr enthalten ist oder standardmaessig deaktiviert wurde.
Exploit-Mechanismus: Eine manipulierte Webseite instantiiert das Video ActiveX Control ueber ein <object>-Tag im HTML und uebergibt speziell gestaltete Parameter, die den Stack-basierten Buffer Overflow in msvidctl.dll ausloesen. Der Internet Explorer fuehrt den resultierenden Shellcode im Kontext des Benutzers aus.
Häufig gestellte Fragen
Sind aktuelle Windows-Versionen von CVE-2008-0015 betroffen?
Nein, aktuelle Windows-Versionen wie Windows 10 und Windows 11 sind nicht betroffen. Die Schwachstelle betrifft ausschliesslich Windows XP, Server 2003, Vista und Server 2008. Auf modernen Systemen ist das anfaellige ActiveX Control nicht mehr vorhanden, und der Internet Explorer wurde durch Microsoft Edge ersetzt, der ActiveX nicht unterstuetzt.
Warum ist diese alte Schwachstelle noch im CISA KEV-Katalog?
Die Aufnahme in den KEV-Katalog mit einer Frist bis 2026 zeigt, dass noch immer verwundbare Systeme in Betrieb sind, insbesondere in kritischer Infrastruktur und bei Behoerden, wo Legacy-Systeme haeufig laenger eingesetzt werden. Die CISA moechte sicherstellen, dass diese Systeme entweder gepatcht, migriert oder isoliert werden.
Was ist ein ActiveX Control und warum ist es gefaehrlich?
ActiveX Controls sind ausfuehrbare Komponenten, die vom Internet Explorer in Webseiten geladen werden koennen. Da sie nativen Code mit den Berechtigungen des Benutzers ausfuehren, stellen sie eine erhebliche Sicherheitsrisiko dar. Schwachstellen in ActiveX Controls ermoeglichen Drive-by-Download-Angriffe, bei denen der blosse Besuch einer Webseite ausreicht, um Schadsoftware zu installieren.
Wie kann ich pruefen, ob noch verwundbare Systeme in meinem Netzwerk existieren?
Fuehren Sie einen Netzwerkscan mit einer Schwachstellenanalyse-Loesung durch, die nach veralteten Windows-Versionen und fehlenden Patches sucht. Insbesondere Windows XP- und Server 2003-Systeme sollten identifiziert und zeitnah migriert oder isoliert werden. Tools wie Nmap koennen die Windows-Version erkennen, und spezialisierte Scanner pruefen den Patch-Stand.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.