CVE-2010-2568
Microsoft Windows Remote Code Execution Vulnerability
Beschreibung
CVE-2010-2568 ist eine Remote-Code-Execution-Schwachstelle in Microsoft Windows durch fehlerhafte Verarbeitung von Verknüpfungsdateien (.LNK). Beim Anzeigen des Icons einer manipulierten Verknüpfung wird bösartiger Code als aktueller Benutzer ausgeführt — ohne jegliche Benutzerinteraktion. Die Schwachstelle wurde berühmt durch den Stuxnet-Wurm. Der EPSS-Score von 92,13 % (99,71. Perzentil) belegt nahezu sichere Ausnutzung. Die CISA hat CVE-2010-2568 am 15. September 2022 in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows server 2003 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows vista | - |
| microsoft | windows xp | - |
Referenzen
- http://isc.sans.edu/diary.html?storyid=9181(Exploit, Issue Tracking)
- http://isc.sans.edu/diary.html?storyid=9190(Issue Tracking)
- http://krebsonsecurity.com/2010/07/experts-warn-of-new-windows-shortcut-flaw/(Press/Media Coverage)
- http://secunia.com/advisories/40647(Vendor Advisory)
- http://securitytracker.com/id?1024216(Broken Link, Third Party Advisory, VDB Entry)
- http://www.f-secure.com/weblog/archives/00001986.html(Not Applicable)
- http://www.f-secure.com/weblog/archives/new_rootkit_en.pdf(Exploit)
- http://www.kb.cert.org/vuls/id/940193(Patch, Third Party Advisory, US Government Resource)
- http://www.microsoft.com/technet/security/advisory/2286198.mspx(Broken Link, Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/41732(Broken Link, Exploit, Third Party Advisory, VDB Entry)
- http://www.us-cert.gov/cas/techalerts/TA10-222A.html(Third Party Advisory, US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2010/ms10-046(Patch, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A11564(Broken Link)
- https://www.geoffchappell.com/notes/security/stuxnet/ctrlfldr.htm(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2010-2568(US Government Resource)
Schwachstellentyp
CWE-20: Improper Input Validation
CVE-2010-2568 nutzt eine unzureichende Eingabevalidierung in der Windows-Shell-Verarbeitung von Verknüpfungsdateien (.LNK) aus. Das System validiert manipulierte Verknüpfungsdaten nicht korrekt, bevor es Ressourcen lädt, wodurch bösartiger Code beim Rendern des Verknüpfungsicons ausgeführt werden kann.
Mehr erfahren: CWE-20 — Improper Input Validation
Auswirkungsanalyse
CVE-2010-2568 ermöglicht Remote-Code-Execution allein durch das Anzeigen des Icons einer manipulierten Verknüpfungsdatei — ohne Klick oder sonstige Benutzerinteraktion. Die Ausnutzung kann über USB-Laufwerke, Netzwerkfreigaben oder WebDAV erfolgen. Vertraulichkeit, Integrität und Verfügbarkeit sind kritisch betroffen, da der Code mit den Rechten des angemeldeten Benutzers ausgeführt wird. Die Verbindung zum Stuxnet-Wurm belegt den Einsatz in hochentwickelten Angriffen gegen kritische Infrastrukturen. Der EPSS-Score von 92,13 % bestätigt nahezu sichere Ausnutzung.
Exploit-Reifegrad
Die CISA hat CVE-2010-2568 am 15. September 2022 in den KEV-Katalog aufgenommen — über ein Jahrzehnt nach der Erstveröffentlichung. Die Schwachstelle wurde erstmals im Stuxnet-Wurm identifiziert, der iranische Nuklearanlagen angriff. Der EPSS-Score von 92,13 % (99,71. Perzentil) belegt nahezu sichere Ausnutzung. Die Schwachstelle wurde in zahlreiche Malware-Familien integriert. Der Ransomware-Status ist als unbekannt eingestuft.
Behebung
- Microsoft-Sicherheitsbulletin MS10-046 einspielen: Installieren Sie das Windows-Sicherheitsupdate, das die .LNK-Verarbeitungsschwachstelle behebt.
- Verknüpfungsicon-Anzeige deaktivieren: Als temporäre Maßnahme können Icons per Registrierungsänderung deaktiviert werden.
- .LNK-Dateien an E-Mail-Gateways blockieren: Konfigurieren Sie E-Mail-Sicherheit zum Filtern von .LNK-Anhängen.
- Wechselmedien einschränken: Deaktivieren Sie Autorun und beschränken Sie USB-Zugriff auf kritischen Systemen.
- Alle Windows-Systeme aktualisieren: Stellen Sie sicher, dass keine ungepatchten Legacy-Systeme verbleiben.
Technische Details
CVE-2010-2568 nutzt eine Schwachstelle in der Windows-Shell-Verarbeitung von .LNK-Dateien zur Icon-Anzeige aus. Wenn Windows Explorer eine .LNK-Datei antrifft, versucht es, die referenzierte Icon-Ressource zu laden. Bei speziell gestalteten Systemsteuerungs-Verknüpfungen kann die Shell dazu gebracht werden, eine beliebige DLL-Datei zu laden und auszuführen. Die Ausführung erfolgt im Kontext von Windows Explorer mit den Rechten des aktuellen Benutzers. Der Exploit erfordert keine Benutzerinteraktion — allein das Öffnen eines Ordners oder das Einlegen eines USB-Laufwerks mit der manipulierten .LNK-Datei löst die Ausführung aus. Diese Zero-Click-Eigenschaft machte die Schwachstelle ideal für die USB-basierte Verbreitung des Stuxnet-Wurms.
Häufig gestellte Fragen
Wird CVE-2010-2568 aktiv ausgenutzt?
Ja, CVE-2010-2568 wird trotz Erstveröffentlichung 2010 weiterhin aktiv ausgenutzt. Die Schwachstelle wurde im Stuxnet-Wurm verwendet und ist in zahlreichen Malware-Familien integriert.
Welche Produkte sind von CVE-2010-2568 betroffen?
Betroffen sind Microsoft Windows XP, Vista, 7, Server 2003 und Server 2008. Legacy-Systeme mit diesen Versionen bleiben anfällig.
Wie behebe ich CVE-2010-2568?
Installieren Sie Microsoft-Sicherheitsbulletin MS10-046. Nicht mehr unterstützte Windows-Versionen sollten ersetzt oder isoliert werden.
Wie schwerwiegend ist CVE-2010-2568?
CVE-2010-2568 hat einen EPSS-Score von 92,13 % (99,71. Perzentil). Die Zero-Click-Codeausführung über manipulierte Verknüpfungsdateien wurde im Stuxnet-Wurm gegen kritische Infrastrukturen eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.