CVE-2012-0158
Microsoft MSCOMCTL.OCX Remote Code Execution Vulnerability
Beschreibung
CVE-2012-0158 ist eine hochgradige Remote-Code-Execution-Schwachstelle in den MSCOMCTL.OCX-ActiveX-Steuerelementen, die von zahlreichen Microsoft-Produkten verwendet werden. Der Fehler liegt in den ListView-, ListView2-, TreeView- und TreeView2-ActiveX-Steuerelementen innerhalb der Common-Controls-Bibliothek, wodurch ein entfernter Angreifer beliebigen Code ausführen und die vollständige Kontrolle über ein betroffenes System übernehmen kann. Die CISA hat die aktive Ausnutzung durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) bestätigt. Mit einem außergewöhnlichen EPSS-Score von 94,3 % (99,9. Perzentil) bleibt CVE-2012-0158 trotz eines Alters von über einem Jahrzehnt eine der am häufigsten ausgenutzten Schwachstellen und betrifft Microsoft Office, SQL Server, BizTalk Server, Commerce Server, Visual FoxPro und Visual Basic Runtime.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office | 2003; 2007; 2010 |
| microsoft | office web components | 2003 |
| microsoft | sql server 2000 | - |
| microsoft | sql server 2005 | - |
| microsoft | sql server 2008 | -; r2 |
| microsoft | biztalk server | 2002 |
| microsoft | commerce server | 2002; 2007 |
| microsoft | commerce server 2009 | -; r2 |
| microsoft | visual basic | 6.0 |
| microsoft | visual foxpro | 8.0; 9.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://opensources.info/comment-on-the-curious-case-of-a-cve-2012-0158-exploit-by-chris-pierce/(Broken Link)
- http://www.securityfocus.com/bid/52911(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id?1026899(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id?1026900(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id?1026902(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id?1026903(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id?1026904(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id?1026905(Broken Link, Third Party Advisory, VDB Entry)
- http://www.us-cert.gov/cas/techalerts/TA12-101A.html(Third Party Advisory, US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-027(Patch, Vendor Advisory)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/74372(Third Party Advisory, VDB Entry)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A15462(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-0158(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code ('Code Injection')
Code Injection tritt auf, wenn Software Codesegmente unter Verwendung extern beeinflusster Eingaben konstruiert, ohne spezielle Elemente ordnungsgemäß zu neutralisieren. Bei CVE-2012-0158 versagen die MSCOMCTL.OCX-ActiveX-Steuerelemente bei der ordnungsgemäßen Validierung von Eingaben, was zu einer Korruption des Systemzustands führt, die es Angreifern ermöglicht, über manipulierte Websites, Office-Dokumente oder RTF-Dateien beliebigen Code einzuschleusen und auszuführen.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2012-0158 weist einen CVSS-3.1-Score von 8,8 (HOCH) auf, was eine schwerwiegende Bedrohung für Organisationen darstellt, die die breite Palette betroffener Microsoft-Produkte einsetzen. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar und erfordert keine Authentifizierung, obwohl eine Benutzerinteraktion in Form des Besuchs einer manipulierten Website oder des Öffnens eines präparierten Dokuments erforderlich ist. Eine erfolgreiche Ausnutzung führt zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit und gibt dem Angreifer die volle Kontrolle über das betroffene System im Kontext des aktuellen Benutzers. Der EPSS-Score von 94,3 % im 99,9. Perzentil bestätigt, dass diese Schwachstelle zu den am aktivsten ausgenutzten gehört, und die breite Angriffsfläche über Office, SQL Server und weitere Produkte verstärkt das organisatorische Risiko erheblich.
Exploit-Reifegrad
CVE-2012-0158 wird durch die Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen als aktiv ausgenutzt bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 94,3 % (99,9. Perzentil) platziert diese unter den am häufigsten ausgenutzten Schwachstellen überhaupt und deutet auf nahezu sichere Ausnutzungsaktivität hin, selbst Jahre nach der Veröffentlichung. Obwohl im April 2012 publiziert, wird diese Schwachstelle weiterhin aktiv in Spear-Phishing-Kampagnen und gezielten Angriffen eingesetzt, da viele Legacy-Systeme ungepacht bleiben. Die Schwachstelle kann über mehrere Vektoren ausgelöst werden, darunter manipulierte Websites, Office-Dokumente und RTF-Dateien, was Angreifern flexible Ausnutzungsoptionen bietet.
Behebung
- Microsoft-Sicherheitsbulletin MS12-027 sofort anwenden gemäß der CISA-KEV-Kataloganweisung. Installieren Sie Patches von Microsoft Security Updates für alle betroffenen Produkte.
- Überprüfen Sie, dass alle Instanzen betroffener Produkte gepatcht wurden, einschließlich Microsoft Office 2003 SP3, 2007 SP2/SP3 und 2010 Gold/SP1; Office 2003 Web Components SP3; SQL Server 2000 SP4, 2005 SP4 und 2008 SP2/SP3/R2; BizTalk Server 2002 SP1; Commerce Server 2002 SP4, 2007 SP2 und 2009 Gold/R2; Visual FoxPro 8.0 SP1 und 9.0 SP2; sowie Visual Basic 6.0 Runtime.
- Implementieren Sie Kill-Bits für die verwundbaren ActiveX-Steuerelemente über Gruppenrichtlinien, um deren Instanzierung in Internet Explorer und anderen ActiveX-Hosts zu verhindern, auch wenn das Patching verzögert wird.
- Setzen Sie E-Mail- und Webinhaltsfilterung ein, um bösartige Office-Dokumente und RTF-Dateien zu blockieren, die auf diese Schwachstelle abzielen, mit besonderem Fokus auf Dokumente mit eingebetteten ActiveX-Steuerelementen.
- Führen Sie ein gründliches Audit von Legacy-Systemen durch, um verbleibende ungepatchte Installationen zu identifizieren, da der breite Produktfußabdruck dieser Schwachstelle bedeutet, dass betroffene Komponenten an unerwarteten Stellen vorhanden sein können.
Technische Details
CVE-2012-0158 betrifft die MSCOMCTL.OCX-Komponente, die gemeinsame ActiveX-Steuerelemente (ListView, ListView2, TreeView, TreeView2) bereitstellt, die in zahlreichen Microsoft-Produkten verwendet werden. Die Schwachstelle löst eine Systemzustandskorruption aus, wenn eine manipulierte Eingabe über diese Steuerelemente verarbeitet wird, wodurch ein Angreifer den Ausführungsfluss umleiten und beliebigen Code ausführen kann. Der CVSS-Vektorstring CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H spiegelt netzwerkbasierte Ausnutzung mit geringer Komplexität, ohne Berechtigungsanforderungen und mit obligatorischer Benutzerinteraktion durch Öffnen eines manipulierten Dokuments oder Besuch einer präparierten Website wider. Der breite Umfang betroffener Produkte, von Office-Suiten und SQL Server bis hin zu Entwicklungstools wie Visual FoxPro und Visual Basic Runtime, zeigt, dass die verwundbare MSCOMCTL.OCX-Komponente eine gemeinsame Abhängigkeit im gesamten Microsoft-Produktökosystem darstellt.
Häufig gestellte Fragen
Wird CVE-2012-0158 aktiv ausgenutzt?
Ja. CVE-2012-0158 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgeführt, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 94,3 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin. Obwohl über ein Jahrzehnt alt, wird diese Schwachstelle weiterhin in gezielten Angriffskampagnen ausgenutzt.
Welche Produkte sind von CVE-2012-0158 betroffen?
CVE-2012-0158 betrifft eine breite Palette von Microsoft-Produkten, darunter Office 2003, 2007 und 2010; Office Web Components 2003; SQL Server 2000, 2005 und 2008; BizTalk Server 2002; Commerce Server 2002, 2007 und 2009; Visual FoxPro 8.0 und 9.0; sowie Visual Basic 6.0 Runtime.
Wie behebe ich CVE-2012-0158?
Wenden Sie das Microsoft-Sicherheitsbulletin MS12-027 für alle betroffenen Produkte an. Implementieren Sie zusätzlich ActiveX-Kill-Bits für die verwundbaren Steuerelemente und setzen Sie Inhaltsfilterung ein, um bösartige Dokumente zu blockieren, die auf diese Schwachstelle abzielen.
Wie schwerwiegend ist CVE-2012-0158?
CVE-2012-0158 hat einen CVSS-3.1-Score von 8,8 (HOCH). Mit einem EPSS-Score im 99,9. Perzentil und einer umfangreichen Angriffsfläche über mehrere Microsoft-Produkte ist dies eine der schwerwiegendsten und am häufigsten ausgenutzten Schwachstellen im Microsoft-Ökosystem.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.