CVE-2012-0151
Microsoft Windows Authenticode Signature Verification Remote Code Execution Vulnerability
Beschreibung
CVE-2012-0151 ist eine Schwachstelle in der Microsoft Windows Authenticode-Signaturverifizierungsfunktion (WinVerifyTrust), die es entfernten Angreifern mit Benutzerunterstützung ermöglicht, beliebigen Code auszuführen. Der Fehler tritt auf, weil WinVerifyTrust den Digest einer signierten Portable-Executable-Datei (PE) nicht korrekt validiert, wodurch ein Angreifer eine signierte ausführbare Datei modifizieren kann, während sie weiterhin als gültig signiert erscheint. Die CISA hat CVE-2012-0151 in ihren KEV-Katalog aufgenommen, und der EPSS-Score von 89,0 % (99. Perzentil) stellt ein kritisches Risiko dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows server 2003 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows vista | - |
| microsoft | windows xp | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://osvdb.org/81135(Broken Link)
- http://secunia.com/advisories/48581(Broken Link)
- http://www.securitytracker.com/id?1026906(Broken Link, Third Party Advisory, VDB Entry)
- http://www.us-cert.gov/cas/techalerts/TA12-101A.html(Third Party Advisory, US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-024(Patch, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A15594(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-0151(US Government Resource)
Schwachstellentyp
CWE-20: Unzureichende Eingabevalidierung (Improper Input Validation)
CVE-2012-0151 nutzt eine unzureichende Eingabevalidierung im Windows-Authenticode-Signaturverifizierungsprozess aus, bei der die WinVerifyTrust-Funktion den Digest einer signierten Portable-Executable-Datei nicht ordnungsgemäß validiert. Dies ermöglicht es einem Angreifer, den ausführbaren Inhalt zu modifizieren und gleichzeitig die digitale Signatur beizubehalten, wodurch das Vertrauensmodell umgangen wird.
Mehr erfahren: CWE-20 — Unzureichende Eingabevalidierung
Auswirkungsanalyse
CVE-2012-0151 untergräbt einen grundlegenden Windows-Sicherheitsmechanismus — die Authenticode-Signaturverifizierung —, der zur Vertrauensbildung bei über das Internet verteilter Software verwendet wird. Der Angriff erfordert Benutzerinteraktion (das Opfer muss eine manipulierte Datei herunterladen und ausführen), aber die Social-Engineering-Hürde ist niedrig, da die Datei als legitim signiert erscheint. Nach der Ausführung erhält der Angreifer Codeausführung mit den Berechtigungen des laufenden Benutzers, wodurch Vertraulichkeit, Integrität und Verfügbarkeit vollständig gefährdet sind. Die Schwachstelle ist besonders gefährlich, weil sie die Vertrauenskette untergräbt, auf die Unternehmen und Einzelpersonen angewiesen sind. Der EPSS-Score von 89,0 % (99. Perzentil) weist auf nahezu sichere Ausnutzung hin.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2012-0151 bestätigt, indem sie die Schwachstelle am 8. Juni 2022 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 89,0 % ordnet diese Schwachstelle im 99. Perzentil ein. Diese Schwachstelle wurde insbesondere von der Flame-Malware ausgenutzt — einer ausgeklügelten staatlich gesponserten Cyberwaffe —, die den Authenticode-Bypass nutzte, um bösartigen Code mit Zertifikaten zu signieren, die scheinbar von Microsoft stammten. Obwohl keine spezifische Ransomware-Verbindung gemeldet wurde, macht die Fähigkeit zur Umgehung der Signaturverifizierung diese Schwachstelle außergewöhnlich wertvoll für Advanced-Persistent-Threat-Akteure und Supply-Chain-Angriffe.
Behebung
- Microsoft-Sicherheitsupdates sofort einspielen: Installieren Sie die relevanten Windows-Patches, die den WinVerifyTrust-Digest-Validierungsfehler korrigieren, gemäß der CISA-KEV-Maßnahme.
- Strikte Authenticode-Signaturvalidierung aktivieren: Konfigurieren Sie Windows für die strikte PE-Signaturverifizierung, sodass jede Modifikation einer signierten ausführbaren Datei die Signatur ungültig macht. Microsoft veröffentlichte ein Security Advisory (2718704) mit optionalen Härtungsmaßnahmen.
- Application Whitelisting implementieren: Setzen Sie Anwendungskontrollrichtlinien (AppLocker oder Windows Defender Application Control) ein, um die Ausführung auf vorab genehmigte Anwendungen zu beschränken.
- Code-Signing-Richtlinien organisationsweit durchsetzen: Fordern Sie, dass alle Software-Installationen die Signaturverifizierung über eine kontrollierte Software-Deployment-Pipeline durchlaufen.
- Manipulierte signierte ausführbare Dateien überwachen: Setzen Sie Endpoint-Detection-Funktionen ein, die PE-Datei-Hashes mit bekannten guten Werten vergleichen und bei Abweichungen alarmieren.
Technische Details
CVE-2012-0151 ist eine Schwachstelle in der Windows-WinVerifyTrust-Funktion, die für die Validierung von Authenticode-Digitalsignaturen auf Portable-Executable-Dateien (PE) zuständig ist. Der Fehler tritt auf, weil WinVerifyTrust den kryptographischen Digest des PE-Dateiinhalts nicht ordnungsgemäß gegen den in der Signatur gespeicherten Digest verifiziert. Dies bedeutet, dass ein Angreifer bestimmte Bereiche einer signierten PE-Datei modifizieren kann — etwa Code-Sektionen anhängen oder verändern —, während die Authenticode-Signatur weiterhin als authentisch validiert wird. Die Schwachstelle ist unter CWE-20 klassifiziert, da die Ursache in der unzureichenden Validierung des Datei-Digest-Inputs während des Signaturverifizierungsprozesses liegt. Da die Datei die Windows-Signaturprüfungen besteht, werden standardmäßige Sicherheitswarnungen unterdrückt, was die Wahrscheinlichkeit erfolgreichen Social Engineerings erheblich erhöht.
Häufig gestellte Fragen
Wird CVE-2012-0151 aktiv ausgenutzt?
Ja. Die CISA hat die aktive Ausnutzung bestätigt. Diese Schwachstelle wurde insbesondere von der Flame-Malware zur Fälschung von Code-Signaturen verwendet. Der EPSS-Score von 89,0 % im 99. Perzentil weist auf nahezu sichere Ausnutzung hin.
Welche Produkte sind von CVE-2012-0151 betroffen?
CVE-2012-0151 betrifft die Authenticode-Signaturverifizierungsfunktion (WinVerifyTrust) in Microsoft Windows. Mehrere Windows-Versionen sind betroffen, da WinVerifyTrust eine zentrale Betriebssystemkomponente zur Validierung von Software-Signaturen ist.
Wie behebe ich CVE-2012-0151?
Spielen Sie die Microsoft-Sicherheitsupdates ein, die den WinVerifyTrust-Validierungsfehler korrigieren. Aktivieren Sie zusätzlich strikte Authenticode-Verifizierungseinstellungen gemäß Microsoft Security Advisory 2718704 und implementieren Sie Application Whitelisting.
Wie schwerwiegend ist CVE-2012-0151?
CVE-2012-0151 ist eine kritisch schwere Schwachstelle mit einem EPSS-Score im 99. Perzentil. Sie untergräbt das Windows-Authenticode-Vertrauensmodell und ermöglicht es manipulierten ausführbaren Dateien, als legitim signiert zu erscheinen, was sie für Supply-Chain-Angriffe und fortgeschrittene Bedrohungsszenarien außergewöhnlich gefährlich macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.