CVE-2010-3962
Microsoft Internet Explorer Uninitialized Memory Corruption Vulnerability
Beschreibung
CVE-2010-3962 ist eine Use-After-Free-Schwachstelle im Microsoft Internet Explorer 6, 7 und 8, die die Ausfuehrung von beliebigem Code durch einen entfernten Angreifer ermoeglicht. Die Schwachstelle wird durch speziell praeparierte CSS-Token-Sequenzen und das clip-Attribut ausgeloest und wurde als Zero-Day aktiv in freier Wildbahn ausgenutzt (November 2010). Mit einem CVSS-Score von 8.1 (HIGH) und einem EPSS-Score von 87,03 % (99,4. Perzentil) zaehlt diese Schwachstelle zu den gefaehrlichsten Internet-Explorer-Schwachstellen. Die CISA hat CVE-2010-3962 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 27. Oktober 2025.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet explorer | 6; 7; 8 |
Referenzen
- http://blogs.technet.com/b/msrc/archive/2010/11/02/microsoft-releases-security-advisory-2458511.aspx(Vendor Advisory)
- http://secunia.com/advisories/42091(Broken Link, Vendor Advisory)
- http://www.exploit-db.com/exploits/15418(Third Party Advisory, VDB Entry)
- http://www.exploit-db.com/exploits/15421(Third Party Advisory, VDB Entry)
- http://www.kb.cert.org/vuls/id/899748(Third Party Advisory, US Government Resource)
- http://www.microsoft.com/technet/security/advisory/2458511.mspx(Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/44536(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id?1024676(Broken Link, Third Party Advisory, VDB Entry)
- http://www.symantec.com/connect/blogs/new-ie-0-day-used-targeted-attacks(Not Applicable)
- http://www.us-cert.gov/cas/techalerts/TA10-348A.html(Third Party Advisory, US Government Resource)
- http://www.vupen.com/english/advisories/2010/2880(Broken Link, Vendor Advisory)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2010/ms10-090(Patch, Vendor Advisory)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/62962(Third Party Advisory, VDB Entry)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A12279(Tool Signature)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2010-3962(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
Die Schwachstelle ist als CWE-416 (Use After Free) klassifiziert. Bei einer Use-After-Free-Schwachstelle greift ein Programm auf einen Speicherbereich zu, nachdem dieser bereits freigegeben wurde. Im Fall von CVE-2010-3962 wird beim Verarbeiten bestimmter CSS-Token-Sequenzen ein Objekt freigegeben, dessen Referenz jedoch weiterhin verwendet wird. Ein Angreifer kann diesen freigegebenen Speicherbereich mit eigenen Daten fuellen und so die Kontrolle ueber den Programmfluss uebernehmen. Use-After-Free-Schwachstellen sind besonders in Browsern gefaehrlich, da sie durch den blossen Besuch einer Webseite ausgeloest werden koennen.
Auswirkungsanalyse
Remote Code Execution durch Webseitenbesuch: Die kritischste Auswirkung ist die Moeglichkeit, beliebigen Code auf dem System des Opfers auszufuehren, indem dieses lediglich eine manipulierte Webseite besucht. Der Angreifer erhaelt dabei die Berechtigungen des angemeldeten Benutzers. Vertraulichkeit (C:H) - Vollstaendiger Zugriff auf alle Dateien und Daten, die dem Benutzer zugaenglich sind, einschliesslich gespeicherter Passwoerter, Dokumente und E-Mails. Integritaet (I:H) - Der Angreifer kann Schadsoftware installieren, Systemdateien manipulieren und persistente Backdoors einrichten. Verfuegbarkeit (A:H) - Das kompromittierte System kann vollstaendig uebernommen oder fuer weitere Angriffe missbraucht werden.
Erhoehte Angriffskomplexitaet: Der CVSS-Vektor weist AC:H (High Complexity) auf, was bedeutet, dass der Angriff erhoehte Komplexitaet erfordert. Die Ausnutzung der Use-After-Free-Schwachstelle erfordert praezise Heap-Manipulation, was den Exploit weniger zuverlaessig macht als einfachere Buffer-Overflow-Angriffe. Dennoch wurden funktionsfaehige Exploits oeffentlich veroeffentlicht.
EPSS und Bedrohungslage: Der EPSS-Score von 87,03 % (99,4. Perzentil) zeigt, dass CVE-2010-3962 zu den Top 1 % der am wahrscheinlichsten ausgenutzten Schwachstellen gehoert. Der Ransomware-Status ist als Unknown klassifiziert, jedoch wurde die Schwachstelle nachweislich in gezielten Angriffen und Exploit-Kits eingesetzt.
Exploit-Reifegrad
CVE-2010-3962 weist eine sehr hohe Exploit-Reife auf. Microsoft hat bestaetigt, dass die Schwachstelle als Zero-Day im November 2010 aktiv ausgenutzt wurde, bevor ein Patch verfuegbar war. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und der EPSS-Score von 87,03 % (99,4. Perzentil) unterstreicht die hohe Ausnutzungswahrscheinlichkeit.
Oeffentliche Exploits: Funktionsfaehige Exploits wurden kurz nach Bekanntwerden der Schwachstelle auf Exploit-DB (15418) und Exploit-DB (15421) veroeffentlicht. Das CERT/CC dokumentierte die Schwachstelle unter VU#899748 und stufte sie als kritisch ein.
Historischer Kontext: Die Schwachstelle wurde auch als invalid flag reference und Uninitialized Memory Corruption Vulnerability bezeichnet. Sie war Teil einer Serie von Internet-Explorer-Zero-Days, die 2010 fuer gezielte Angriffe verwendet wurden. Microsoft veroeffentlichte zunaechst das Security Advisory 2458511, gefolgt von einem vollstaendigen Patch.
Ransomware-Verbindung: Der Ransomware-Status ist als Unknown klassifiziert. Die Schwachstelle wurde jedoch nachweislich in Exploit-Kits integriert, die haeufig als Einfallstor fuer Ransomware-Infektionen dienen.
Behebung
-
Microsoft-Sicherheitsupdate installieren: Installieren Sie das Sicherheitsupdate, das Microsoft im Rahmen des Security Advisory 2458511 bereitgestellt hat. Dieses Update behebt die Use-After-Free-Schwachstelle in der CSS-Verarbeitung des Internet Explorers. Auf Systemen mit aktuellen Windows-Updates ist dieser Patch laengst enthalten.
-
Internet Explorer durch modernen Browser ersetzen: Die betroffenen Internet-Explorer-Versionen 6, 7 und 8 sind veraltet und erhalten keine Sicherheitsupdates mehr. Wechseln Sie zu einem modernen Browser wie Microsoft Edge, Google Chrome oder Mozilla Firefox. Falls der Internet Explorer fuer Legacy-Webanwendungen benoetigt wird, nutzen Sie den Kompatibilitaetsmodus in Microsoft Edge.
-
Enhanced Protected Mode aktivieren: Falls der Internet Explorer weiterhin eingesetzt werden muss, aktivieren Sie den Enhanced Protected Mode in den Internetoptionen. Dieser Modus schraenkt die Berechtigungen des Browsers ein und erschwert die Ausnutzung von Schwachstellen erheblich.
-
Netzwerkbasierte Schutzmassnahmen implementieren: Setzen Sie Web-Proxy-Loesungen mit Content-Filterung ein, die bekannte Exploit-Payloads erkennen und blockieren koennen. Intrusion-Prevention-Systeme (IPS) mit aktuellen Signaturen koennen Angriffsversuche auf CVE-2010-3962 erkennen und unterbinden.
-
Legacy-Systeme isolieren: Falls Systeme mit verwundbaren Internet-Explorer-Versionen nicht sofort aktualisiert werden koennen, isolieren Sie diese in einem separaten Netzwerksegment und beschraenken Sie den Internetzugang auf das absolut Notwendige.
Technische Details
Die Schwachstelle befindet sich in der CSS-Rendering-Engine des Microsoft Internet Explorer 6, 7 und 8. Der Fehler tritt auf, wenn der Browser bestimmte CSS-Token-Sequenzen in Verbindung mit dem clip-Attribut verarbeitet.
Ursache der Use-After-Free-Bedingung: Beim Parsen und Rendern von speziell praeparierten CSS-Anweisungen wird ein internes DOM-Objekt freigegeben, waehrend eine Referenz auf dieses Objekt weiterhin im Rendering-Kontext existiert. Wenn der Browser anschliessend ueber diese dangling Referenz auf das bereits freigegebene Objekt zugreift, liest er Daten aus dem Heap-Speicher, der inzwischen fuer andere Zwecke wiederverwendet worden sein kann. Durch gezieltes Platzieren von Daten im freigegebenen Speicherbereich kann ein Angreifer die Programmausfuehrung kontrollieren.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) mit hoher Komplexitaet (AC:H), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen. Die hohe Komplexitaet ergibt sich aus der Notwendigkeit, das Heap-Layout praezise zu kontrollieren, um den freigegebenen Speicher zuverlaessig mit Exploit-Daten zu fuellen.
Exploit-Mechanismus: Eine manipulierte Webseite enthaelt speziell konstruierte CSS-Regeln mit Token-Sequenzen, die die fehlerhafte Freigabe ausloesen. Durch Heap-Spraying-Techniken wird der freigegebene Speicherbereich mit kontrollierten Daten gefuellt. Wenn der Browser die dangling Referenz dereferenziert, wird eine vom Angreifer kontrollierte Funktion aufgerufen, die Shellcode ausfuehrt.
Betroffene Systeme: Microsoft Internet Explorer 6, 7 und 8 auf allen unterstuetzten Windows-Plattformen. Internet Explorer 9 und spaeter sind nicht betroffen, da die CSS-Engine grundlegend ueberarbeitet wurde.
Häufig gestellte Fragen
Sind aktuelle Browser von CVE-2010-3962 betroffen?
Nein, aktuelle Browser wie Microsoft Edge, Google Chrome und Mozilla Firefox sind nicht betroffen. Die Schwachstelle betrifft ausschliesslich Internet Explorer 6, 7 und 8, deren CSS-Engine den fehlerhaften Code enthaelt. Selbst Internet Explorer 9 und spaeter sind nicht betroffen, da die CSS-Rendering-Engine grundlegend ueberarbeitet wurde.
Was bedeutet der Zero-Day-Status dieser Schwachstelle?
Der Zero-Day-Status bedeutet, dass die Schwachstelle im November 2010 aktiv fuer Angriffe ausgenutzt wurde, bevor Microsoft einen Patch bereitstellen konnte. Angreifer hatten also einen Vorsprung, in dem kein offizieller Schutz verfuegbar war. Microsoft reagierte zunaechst mit einem Security Advisory und stellte spaeter einen vollstaendigen Patch bereit.
Warum ist diese alte Schwachstelle noch im CISA KEV-Katalog?
Die Aufnahme zeigt, dass trotz des Alters der Schwachstelle noch immer verwundbare Systeme existieren, insbesondere in Organisationen mit Legacy-IT-Infrastruktur. Der Internet Explorer wird in einigen Umgebungen weiterhin fuer interne Webanwendungen eingesetzt, die auf spezifische IE-Funktionalitaet angewiesen sind.
Kann die Schwachstelle ueber E-Mail-Anhaenge ausgenutzt werden?
Ja, die Schwachstelle kann indirekt ueber E-Mail-Anhaenge ausgenutzt werden, wenn ein Benutzer eine HTML-Datei oder ein Office-Dokument mit eingebettetem HTML-Inhalt oeffnet, das die manipulierten CSS-Anweisungen enthaelt. Auch das Oeffnen von Links in E-Mails, die zu manipulierten Webseiten fuehren, stellt einen Angriffsvektor dar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.