CVE-2010-0249
Microsoft Internet Explorer Use-After-Free Vulnerability
Beschreibung
CVE-2010-0249, behoben durch das Microsoft-Bulletin MS10-002, ist eine hochgradige Use-after-free-Schwachstelle im Microsoft Internet Explorer. Durch den Zugriff auf einen Zeiger, der mit einem gelöschten Objekt verknüpft ist, kann eine gestaltete Webseite den Speicher beschädigen und einem entfernten Angreifer erlauben, beliebigen Code im Kontext des Benutzers auszuführen, der die Seite aufruft. Dies ist die Lücke „HTML Object Memory Corruption“, die berühmt im Rahmen der Operation Aurora ausgenutzt wurde — der gezielten Angriffskampagne gegen Google und andere Unternehmen Ende 2009 und Anfang 2010. Mit einem CVSS-Score von 8.8, einem EPSS-Score von 88,7 % (99,5. Perzentil) und einer CISA-KEV-Listung bleibt CVE-2010-0249 gefährlich — und da der Internet Explorer End-of-Life ist, lautet die empfohlene Maßnahme, seine Nutzung einzustellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet explorer | 5.0.1; 6; 7.0; 8 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://blogs.technet.com/msrc/archive/2010/01/14/security-advisory-979352.aspx(Broken Link, Vendor Advisory)
- http://news.cnet.com/8301-27080_3-10435232-245.html(Broken Link)
- http://osvdb.org/61697(Broken Link)
- http://securitytracker.com/id?1023462(Broken Link, Third Party Advisory, VDB Entry)
- http://support.microsoft.com/kb/979352(Patch, Vendor Advisory)
- http://www.exploit-db.com/exploits/11167(Exploit, Third Party Advisory, VDB Entry)
- http://www.kb.cert.org/vuls/id/492515(Third Party Advisory, US Government Resource)
- http://www.microsoft.com/technet/security/advisory/979352.mspx(Broken Link, Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/37815(Broken Link, Exploit, Third Party Advisory, VDB Entry)
- http://www.us-cert.gov/cas/techalerts/TA10-055A.html(Broken Link, Third Party Advisory, US Government Resource)
- http://www.vupen.com/english/advisories/2010/0135(Broken Link)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2010/ms10-002(Patch, Vendor Advisory)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/55642(Third Party Advisory, VDB Entry)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A6835(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2010-0249(US Government Resource)
Schwachstellentyp
CWE-416: Verwendung nach Freigabe
Im Internet Explorer tritt die Verwendung nach Freigabe auf, wenn der Browser auf einen Zeiger zu einem bereits gelöschten Objekt zugreift (verbunden mit fehlerhaft initialisiertem Speicher und unsachgemäßer Handhabung von Objekten im Speicher). Eine gestaltete HTML-Seite kann Objektlebenszyklen so manipulieren, dass der freigegebene Speicher unter Kontrolle des Angreifers wiederverwendet wird, was zu Speicherbeschädigung und beliebiger Codeausführung führt.
Mehr erfahren: CWE-416 — Verwendung nach Freigabe
Auswirkungsanalyse
CVE-2010-0249 hat einen CVSS-3.1-Score von 8.8 (HOCH). Sie ist aus der Ferne über das Netzwerk mit geringer Komplexität ausnutzbar und erfordert keine Privilegien, jedoch eine Benutzerinteraktion — das Opfer muss eine bösartige oder kompromittierte Webseite besuchen — und kompromittiert bei Erfolg Vertraulichkeit, Integrität und Verfügbarkeit des Systems im Benutzerkontext vollständig. Dies war die Schwachstelle im Zentrum der Operation Aurora, einer ausgefeilten gezielten Kampagne, die Google und zahlreiche andere Organisationen durchbrach und zeigte, wie eine einzelne Browser-Use-after-free als initialer Brückenkopf für folgenschwere Eindringungen dienen kann. Der EPSS-Score von 88,7 % (99,5. Perzentil) spiegelt eine nahezu sichere Ausnutzungsaktivität wider, und da der Internet Explorer End-of-Life ist, können betroffene Systeme nicht auf künftige Patches setzen und sollten auf einen unterstützten Browser migrieren.
Exploit-Reifegrad
CVE-2010-0249 verfügt über eine ausgereifte und gut dokumentierte Exploit-Landschaft. Öffentlicher Exploit-Code ist verfügbar über Exploit-DB, und die Lücke wurde in der gezielten Operation-Aurora-Kampagne gegen Google und andere Unternehmen im Dezember 2009 und Januar 2010 waffenfähig gemacht. CISA bestätigt durch seine KEV-Listung die aktive Ausnutzung, und der EPSS-Score von 88,7 % (99,5. Perzentil) deutet auf eine nahezu sichere Ausnutzungsaktivität hin. Angesichts des öffentlich verfügbaren Exploits, der historischen Nutzung in einer prominenten Kampagne und des End-of-Life-Status des Internet Explorers ist jede Umgebung, die noch IE betreibt, akut gefährdet und sollte seine Nutzung einstellen.
Behebung
- Nutzung des Internet Explorers einstellen, wie von CISA empfohlen: Das betroffene Produkt ist End-of-Life/End-of-Service, migrieren Sie daher auf einen unterstützten, aktiv gepflegten Browser, statt sich auf die Legacy-Komponente zu verlassen.
- Wo IE vorübergehend verbleiben muss, spielen Sie das MS10-002-Update (CISA-KEV-Frist 03.06.2026) auf jeder unterstützten zugrunde liegenden Windows-Version ein, die es noch erhalten kann.
- Erzwingen Sie als Übergangsmaßnahme Data Execution Prevention (DEP) für den Internet Explorer und beschränken Sie das Surfen auf vertrauenswürdige Seiten, da die Ausnutzung das Laden einer bösartigen Seite durch das Opfer erfordert.
- Blockieren Sie den Zugriff auf nicht vertrauenswürdige Webinhalte am Proxy/Gateway und setzen Sie Endpoint-Schutz ein, der Use-after-free-Ausnutzung und anomale Browser-Kindprozesse erkennt.
- Entfernen oder deaktivieren Sie als langfristige Härtung gegen Use-after-free-Lücken Legacy-Browser, standardisieren Sie auf einen modernen Browser mit starken Speichersicherheits-Mitigationen und segmentieren Sie Systeme, die nicht unterstützte Software betreiben müssen.
Technische Details
CVE-2010-0249 ist eine Use-after-free-Schwachstelle (CWE-416) im Microsoft Internet Explorer 6, 6 SP1, 7 und 8 unter Windows 2000 SP4, XP SP2/SP3, Server 2003 SP2, Vista, Server 2008 und Windows 7. Der Browser greift auf einen Zeiger zu, der mit einem gelöschten Objekt verknüpft ist — eine Bedingung, die mit fehlerhaft initialisiertem Speicher und unsachgemäßer Handhabung von Objekten im Speicher zusammenhängt —, was es einer gestalteten HTML-Seite erlaubt, den freigegebenen Speicher mit vom Angreifer kontrollierten Daten zurückzugewinnen und den Speicher zur Codeausführung zu beschädigen. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) spiegelt einen über das Netzwerk auslieferbaren, gering komplexen Angriff wider, der erfordert, dass das Opfer eine bösartige Seite betrachtet, woraufhin das System im Benutzerkontext vollständig kompromittiert ist. Die Lücke wurde während der Operation Aurora im Dezember 2009 und Januar 2010 in freier Wildbahn ausgenutzt.
Häufig gestellte Fragen
Wird CVE-2010-0249 aktiv ausgenutzt?
Ja. CVE-2010-0249 ist im CISA-KEV-Katalog mit einem EPSS-Score von 88,7 % (99,5. Perzentil) gelistet und wurde in der gezielten Operation-Aurora-Kampagne 2009–2010 ausgenutzt. Öffentlicher Exploit-Code ist verfügbar, sodass ungepatchte Systeme nahezu sicher ausgenutzt werden.
Welche Produkte sind von CVE-2010-0249 betroffen?
Die Schwachstelle betrifft den Microsoft Internet Explorer 6, 6 SP1, 7 und 8 unter Windows 2000 SP4, Windows XP SP2/SP3, Windows Server 2003 SP2, Windows Vista, Windows Server 2008 und Windows 7. Der Internet Explorer ist End-of-Life und sollte nicht mehr genutzt werden.
Wie behebe ich CVE-2010-0249?
Stellen Sie die Nutzung des Internet Explorers ein und migrieren Sie auf einen unterstützten Browser. Wo IE vorübergehend verbleibt und die zugrunde liegende Windows-Version noch Updates erhält, spielen Sie das Microsoft-MS10-002-Sicherheitsupdate ein und erzwingen Sie als Übergangsmaßnahme DEP.
Wie schwerwiegend ist CVE-2010-0249?
CVE-2010-0249 ist mit einem CVSS-3.1-Score von 8.8 als HOCH eingestuft. Eine gestaltete Webseite kann eine Use-after-free auslösen, die zu Remotecodeausführung im Benutzerkontext führt, und die Lücke ist historisch als Einstiegspunkt für die Operation-Aurora-Angriffe bemerkenswert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.