CVE-2012-1854
Microsoft Visual Basic for Applications Insecure Library Loading Vulnerability
Beschreibung
CVE-2012-1854 ist eine Schwachstelle mit hohem Schweregrad durch einen nicht vertrauenswürdigen Suchpfad — die sogenannte „Visual Basic for Applications Insecure Library Loading Vulnerability“ — in VBE6.dll in Microsoft Office 2003 SP3, Office 2007 SP2 und SP3, Office 2010 Gold und SP1, Microsoft Visual Basic for Applications (VBA) sowie dem Summit Microsoft Visual Basic for Applications SDK, mit einem CVSS-3.1-Score von 7.8. Öffnet ein Nutzer ein Office-Dokument (z. B. eine .docx-Datei) aus einem Arbeitsverzeichnis, das zusätzlich eine bösartige DLL enthält, lädt VBA die Trojaner-Bibliothek aus dem aktuellen Verzeichnis statt aus einem vertrauenswürdigen Systempfad und führt den Angreifercode mit den Rechten des Nutzers aus. Microsoft hat den Fehler mit MS12-046 gepatcht; die CISA hat CVE-2012-1854 am 2026-04-13 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis 2026-04-27, nachdem erneut aktive Ausnutzung beobachtet wurde. Mit einem EPSS-Score von 0.1007 (93,1. Perzentil) und belegter Ausnutzung seit Juli 2012 bleibt diese Microsoft-Office- und VBA-Schwachstelle trotz ihres Alters ein hochpriorisiertes Remediationsziel.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office | 2003; 2007; 2010 |
| microsoft | visual basic for applications | Alle Versionen |
| microsoft | visual basic for applications sdk | Alle Versionen |
Referenzen
- http://www.us-cert.gov/cas/techalerts/TA12-192A.html(US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-046(Mitigation, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A14950(Broken Link)
- https://learn.microsoft.com/en-us/security-updates/SecurityBulletins/2012/ms12-046(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-1854(US Government Resource)
Schwachstellentyp
CWE-426: Nicht vertrauenswürdiger Suchpfad
CVE-2012-1854 ist der Schwachstellenklasse CWE-426 — Nicht vertrauenswürdiger Suchpfad — zugeordnet. Diese Schwäche tritt auf, wenn ein Produkt kritische Ressourcen wie Bibliotheken oder ausführbare Dateien über einen extern bereitgestellten Suchpfad lädt, der auf Ressourcen außerhalb der Kontrolle des Produkts zeigen kann. In VBE6.dll durchsucht der Loader das aktuelle Arbeitsverzeichnis vor den vertrauenswürdigen Systempfaden nach abhängigen DLLs; ein Angreifer, der eine bösartige DLL in dasselbe Verzeichnis wie ein Office-Dokument legt, kann so erreichen, dass Microsoft Office bzw. VBA beim Öffnen des Dokuments seine DLL lädt und ausführt. Ergebnis ist beliebige Codeausführung im Kontext des Office-Nutzers — auf typischen Arbeitsplätzen reicht das, um Malware zu installieren, Zugangsdaten abzugreifen oder sich lateral im Netzwerk zu bewegen.
Mehr erfahren: CWE-426 — Nicht vertrauenswürdiger Suchpfad
Auswirkungsanalyse
CVE-2012-1854 hat einen CVSS-3.1-Score von 7.8 (HIGH) bei unverändertem Scope, was bedeutet, dass die erfolgreiche Ausnutzung den Microsoft-Office- oder VBA-Prozess auf dem Arbeitsplatz des Nutzers vollständig kompromittiert. Attack Vector (Local): für die Ausnutzung müssen die bösartige DLL und das Köderdokument im selben Arbeitsverzeichnis auf dem Opfersystem liegen — typischerweise über Netzwerkfreigaben, USB-Medien, Archive oder Drive-by-Downloads ausgeliefert; dieses Muster wird seit Jahren in Phishing- und Watering-Hole-Kampagnen operationalisiert. Attack Complexity (Low) und Privileges Required (None): außer einer aktiven Benutzersitzung sind keine besonderen Voraussetzungen erforderlich. User Interaction (Required): das Opfer muss die Office-Datei öffnen (z. B. ein .docx), wodurch VBA VBE6.dll und die bösartige Nachbar-DLL lädt. Confidentiality (High), Integrity (High) und Availability (High): der Angreifer erlangt vollständige Codeausführung mit den Rechten des Nutzers und kann auf typischen Office-Arbeitsplätzen alle Dateien lesen, die der Nutzer lesen darf, Dokumente und Binärdateien verändern, Persistenz einrichten und das System stören. Mit einem EPSS-Score von 0.1007 (93,1. Perzentil) und von der CISA bestätigter aktiver Ausnutzung zählt CVE-2012-1854 zu den realistischsten, wirkungsstärksten Risiken für Organisationen, die weiterhin ungepatchtes Office 2003, 2007 oder 2010 einsetzen.
Exploit-Reifegrad
CVE-2012-1854 hat bestätigte aktive Ausnutzung und eine lange operative Historie. Historische Ausnutzung: die NVD-Beschreibung weist explizit darauf hin, dass die Schwachstelle „exploited in the wild in July 2012“ wurde; US-CERT-Alert TA12-192A (http://www.us-cert.gov/cas/techalerts/TA12-192A.html) dokumentierte die ursprüngliche MS12-046-Kampagne. Aktueller KEV-Status: die CISA hat CVE-2012-1854 am 2026-04-13 in den KEV-Katalog aufgenommen, mit Behebungsfrist 2026-04-27, was auf erneute reale Ausnutzung hindeutet — wahrscheinlich gegen Organisationen, die noch nicht unterstützte Office-2003/2007/2010-Umgebungen betreiben. Ausnutzungswahrscheinlichkeit: der EPSS-Score von 0.1007 liegt im 93,1. Perzentil und damit deutlich über dem Durchschnitt der CVEs. Öffentliche Tools: die zugrunde liegende DLL-Hijacking-Technik ist seit über einem Jahrzehnt dokumentiert und fester Bestandteil des Red-Team-Handwerkszeugs; funktionierende Ausnutzung erfordert daher keine Spezialentwicklung. Ransomware-Bezug: in KEV wird keine direkte Ransomware-Zuordnung vermerkt, doch DLL-Side-Loading über Office-Dokumente ist eine immer wiederkehrende Initial-Access-Technik für Ransomware-Affiliates und staatsnahe Akteure — CVE-2012-1854 sollte daher weiterhin als realistischer Einbruchsvektor betrachtet werden.
Behebung
- Microsoft Security Bulletin MS12-046 auf allen betroffenen Hosts einspielen. Gemäß der KEV-Vorgabe sind die Herstellervorgaben umzusetzen; installieren Sie die MS12-046-Patches für Office 2003 SP3, Office 2007 SP2/SP3, Office 2010 Gold und SP1 sowie die VBA-Runtimes und verwenden Sie https://learn.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-046 als maßgebliche Referenz.
- End-of-Life-Office-Versionen ablösen, die nicht gepatcht werden können. Office 2003, 2007 und 2010 sind lange aus dem Mainstream-Support; wo MS12-046 nicht sauber angewendet werden kann (z. B. auf Altsystemen), priorisieren Sie die Migration auf ein unterstütztes Microsoft 365 / aktuelles Office oder isolieren Sie den Host.
- Aktuelles Arbeitsverzeichnis aus dem DLL-Suchpfad entfernen. Entsprechend der CWE-426-Empfehlung sollen betroffene Anwendungen keine DLLs aus dem CWD laden — unter Windows lässt sich das über den Registry-Wert CWDIllegalInDllSearch = 0xFFFFFFFF erzwingen sowie über den von Microsoft in MS12-046 dokumentierten „Insecure Library Loading“-Workaround.
- Lieferung von Dokument + DLL am Perimeter blockieren. Konfigurieren Sie E-Mail-Security und Web-Proxies so, dass Archive (ZIP, RAR, ISO), die Office-Dokumente mit DLLs oder ausführbaren Dateien kombinieren, entfernt oder in Quarantäne verschoben werden, und erzwingen Sie Mark-of-the-Web, damit Office nicht vertrauenswürdige Dokumente in der geschützten Ansicht öffnet.
- Rückblickend auf Ausnutzung prüfen. Prüfen Sie Endpoint-Telemetrie, EDR-Logs und Office-Alerts auf DLL-Ladungen von VBE6.dll oder ihren Abhängigkeiten aus nutzerschreibbaren Pfaden (Downloads, Temp, Netzwerkfreigaben), ungewöhnliche Child-Prozesse von WINWORD.EXE/EXCEL.EXE sowie Persistenzmechanismen um Juli 2012 oder nach der KEV-Listung 2026.
- Makros- und Add-in-Policies langfristig härten. Deaktivieren oder signaturbeschränken Sie VBA-Makros per Gruppenrichtlinie („Alle Makros außer digital signierten deaktivieren“ oder „Makros aus dem Internet blockieren“), beschränken Sie COM-Add-ins und verwenden Sie für eigene Tools die von Microsoft empfohlenen sicheren Lade-Flags wie LOAD_LIBRARY_SEARCH_SYSTEM32.
Technische Details
CVE-2012-1854 ist eine Untrusted-Search-Path-Schwachstelle in VBE6.dll, der Kern-Runtime für Microsoft Visual Basic for Applications, die von Microsoft Office 2003 SP3, Office 2007 SP2 und SP3, Office 2010 Gold und SP1, der eigenständigen VBA-Runtime sowie dem Summit Microsoft VBA SDK gemeinsam genutzt wird. Mechanismus: wenn eine Office-Anwendung VBA initialisiert, löst VBE6.dll das Standard-Windows-Library-Loading für seine Abhängigkeiten aus; da das aktuelle Arbeitsverzeichnis vor vertrauenswürdigen Systemverzeichnissen konsultiert wird, kann ein Angreifer, der das CWD kontrolliert, eine DLL mit dem erwarteten Namen platzieren und anstelle der legitimen Systembibliothek laden lassen — das klassische DLL-Hijacking- bzw. Insecure-Library-Loading-Muster. Auslieferung: der kanonische Proof-of-Concept aus Juli 2012 bestand aus einem Ordner mit einer unscheinbaren .docx-Datei und einer bösartigen DLL; ein Doppelklick auf das Dokument instanziiert VBA, das die Schad-DLL lädt und deren DllMain mit den Rechten des Nutzers ausführt. CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H): Local Attack Vector, geringe Komplexität, keine Privilegien, erforderliche Nutzerinteraktion, unveränderter Scope und HIGH-Auswirkung über Confidentiality, Integrity und Availability, da das direkte Ergebnis beliebige Codeausführung im Office-Nutzer-Kontext ist. CWE-426-Kontext: die Abhilfe — sowohl in MS12-046 als auch in der defensiven Härtung — besteht in der Verwendung vollqualifizierter Pfade, dem Entfernen des CWD aus dem DLL-Suchpfad via SetDllDirectory("") und der Bevorzugung von LOAD_LIBRARY_SEARCH_SYSTEM32 für kritische Ladevorgänge.
Häufig gestellte Fragen
Wird CVE-2012-1854 aktiv ausgenutzt?
Ja. Die Schwachstelle wurde ursprünglich im Juli 2012 in freier Wildbahn ausgenutzt und am 2026-04-13 in den KEV-Katalog der CISA aufgenommen, mit Behebungsfrist 2026-04-27. Der EPSS-Score von 0.1007 (93,1. Perzentil) bestätigt die weiterhin hohe Ausnutzungswahrscheinlichkeit; eine konkrete Ransomware-Gruppe ist nicht zugeordnet, DLL-Hijacking über Office-Dokumente ist aber eine bekannte Initial-Access-Technik.
Welche Produkte sind von CVE-2012-1854 betroffen?
CVE-2012-1854 betrifft VBE6.dll in Microsoft Office 2003 SP3, Office 2007 SP2 und SP3, Office 2010 Gold und SP1, alle Versionen von Microsoft Visual Basic for Applications (VBA) sowie dem Summit Microsoft Visual Basic for Applications SDK. Jeder Arbeitsplatz oder Server mit diesen Versionen — insbesondere langlebige End-of-Life-Office-Installationen — ist dem unsicheren Bibliotheksladen ausgesetzt.
Wie behebe ich CVE-2012-1854?
Spielen Sie Microsoft Security Bulletin MS12-046 (https://learn.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-046) auf allen betroffenen Office- und VBA-Installationen ein und retirieren Sie Office-2003/2007/2010-Systeme, die nicht gepatcht werden können. Erzwingen Sie die Microsoft-Härtung gegen unsicheres Bibliotheksladen (CWDIllegalInDllSearch), verwenden Sie SetDllDirectory("") für eigene Loader und blockieren Sie die Auslieferung von Archiven, die Office-Dokumente mit DLLs kombinieren.
Wie kritisch ist CVE-2012-1854?
CVE-2012-1854 ist als HIGH eingestuft mit einem CVSS-3.1-Score von 7.8 und einem EPSS-Score von 0.1007 (93,1. Perzentil). Eine erfolgreiche Ausnutzung führt zu vollständiger, beliebiger Codeausführung in der Office-Sitzung des Nutzers; die Kombination aus KEV-Listung, historischer Ausnutzung in freier Wildbahn und der Bundes-Behebungsfrist 2026-04-27 macht diese Microsoft-Office- und VBA-Schwachstelle zu einem vorrangigen Patch-Ziel.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.