CVE-2010-2572
Microsoft PowerPoint Buffer Overflow Vulnerability
Beschreibung
CVE-2010-2572 ist eine Pufferüberlauf-Schwachstelle in Microsoft PowerPoint, die es entfernten Angreifern ermöglicht, über eine speziell präparierte PowerPoint-Präsentationsdatei beliebigen Code auszuführen. Der Fehler tritt auf, wenn PowerPoint eine fehlerhafte Präsentation verarbeitet, die während des Datei-Parsings einen Pufferüberlauf auslöst. Die CISA hat CVE-2010-2572 in ihren KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung. Mit einem EPSS-Score von 74,7 % (98. Perzentil) besteht eine hohe Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | powerpoint | 2002; 2003 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.us-cert.gov/cas/techalerts/TA10-313A.html(Third Party Advisory, US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2010/ms10-088(Patch, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A12195(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2010-2572(US Government Resource)
Schwachstellentyp
CWE-120: Pufferüberlauf durch fehlende Größenprüfung der Eingabe ('Classic Buffer Overflow')
CVE-2010-2572 nutzt einen klassischen Pufferüberlauf in den Datei-Parsing-Routinen von Microsoft PowerPoint aus, bei dem die Anwendung Daten aus einer manipulierten Präsentationsdatei in einen Puffer fester Größe kopiert, ohne zu prüfen, ob die Eingabedaten in den zugewiesenen Speicher passen.
Mehr erfahren: CWE-120 — Pufferüberlauf durch fehlende Größenprüfung
Auswirkungsanalyse
CVE-2010-2572 ist über eine manipulierte PowerPoint-Datei aus der Ferne ausnutzbar — ein Angreifer muss lediglich ein Opfer dazu bringen, eine bösartige Präsentation zu öffnen, die per E-Mail, Web-Download oder Dateifreigabe zugestellt wird. Keine Authentifizierung ist erforderlich, wobei Benutzerinteraktion zum Öffnen der Datei notwendig ist. Eine erfolgreiche Ausnutzung führt zur Ausführung beliebigen Codes mit den Rechten des aktuellen Benutzers, was bei Administratorrechten zur vollständigen Systemkompromittierung führen kann. Vertraulichkeit, Integrität und Verfügbarkeit sind gleichermaßen gefährdet. Der EPSS-Score von 74,7 % (98. Perzentil) weist auf eine hohe Ausnutzungswahrscheinlichkeit hin.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2010-2572 bestätigt, indem sie die Schwachstelle am 8. Juni 2022 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 74,7 % ordnet diese Schwachstelle im 98. Perzentil ein. Der dokumentenbasierte Angriffsvektor über PowerPoint-Präsentationen macht diese Schwachstelle gut geeignet für Spear-Phishing-Kampagnen gegen Organisationen mit Legacy-Office-Versionen. Es wurde keine spezifische Ransomware-Verbindung gemeldet, aber die Remote-Code-Execution-Fähigkeit über häufig ausgetauschte Dokumentformate macht sie für diverse Angriffskampagnen wertvoll.
Behebung
- Microsoft-Sicherheitsupdates sofort einspielen: Installieren Sie die relevanten Sicherheitspatches für Microsoft PowerPoint gemäß der CISA-KEV-Maßnahme.
- Legacy-Office-Installationen aktualisieren: Wenn Office 2003 oder 2007 im Einsatz ist, führen Sie ein Upgrade auf eine aktuell unterstützte Version von Microsoft Office mit modernen Exploit-Schutzmaßnahmen wie ASLR, DEP und Control Flow Guard durch.
- Geschützte Ansicht für PowerPoint-Dateien aktivieren: Stellen Sie sicher, dass die geschützte Ansicht von Microsoft Office für alle Präsentationen aus externen Quellen aktiviert ist.
- E-Mail-Anhangfilterung einrichten: Konfigurieren Sie E-Mail-Sicherheits-Gateways zum Scannen und Isolieren von PowerPoint-Dateien mit verdächtigen Strukturen.
- Verdächtiges PowerPoint-Prozessverhalten überwachen: Konfigurieren Sie Endpoint Detection für Alarme bei ungewöhnlicher PowerPoint-Prozessaktivität wie unerwarteter Child-Process-Erstellung oder Speicherzugriffsverletzungen.
Technische Details
CVE-2010-2572 ist eine Pufferüberlauf-Schwachstelle im Dateiformat-Parser von Microsoft PowerPoint, die ausgelöst wird, wenn die Anwendung eine manipulierte Präsentationsdatei mit fehlerhaften Record-Strukturen verarbeitet. Während des Parsings kopiert PowerPoint Record-Daten in einen Puffer fester Größe, ohne die Datenlänge gegen die Pufferkapazität zu validieren, was zu einer klassischen Pufferüberlaufbedingung führt, klassifiziert unter CWE-120. Der Überlauf ermöglicht es einem Angreifer, angrenzenden Stack- oder Heap-Speicher einschließlich Rücksprungadressen oder Funktionszeiger zu überschreiben und die Ausführung auf angreiferkontrollierten Code umzuleiten. Die Schwachstelle betrifft das ältere binäre PowerPoint-Format (PPT), das eine komplexe record-basierte Struktur aufweist.
Häufig gestellte Fragen
Wird CVE-2010-2572 aktiv ausgenutzt?
Ja. Die CISA hat die aktive Ausnutzung bestätigt. Der EPSS-Score von 74,7 % im 98. Perzentil weist auf eine hohe Wahrscheinlichkeit fortlaufender Ausnutzung über bösartige PowerPoint-Dateien hin.
Welche Produkte sind von CVE-2010-2572 betroffen?
CVE-2010-2572 betrifft Microsoft PowerPoint, insbesondere ältere Versionen, die das Legacy-PPT-Binärformat verarbeiten. Organisationen mit Office 2003 oder Office 2007 sind am stärksten gefährdet.
Wie behebe ich CVE-2010-2572?
Spielen Sie die Microsoft-Sicherheitsupdates für PowerPoint ein und aktualisieren Sie auf eine aktuell unterstützte Office-Version. Aktivieren Sie die geschützte Ansicht für alle extern empfangenen Präsentationen.
Wie schwerwiegend ist CVE-2010-2572?
CVE-2010-2572 ist eine schwere Pufferüberlauf-Schwachstelle mit einem EPSS-Score im 98. Perzentil, die Remote-Codeausführung über manipulierte PowerPoint-Präsentationen ermöglicht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.