CVE-2012-2539
Microsoft Word Remote Code Execution Vulnerability
Beschreibung
CVE-2012-2539 ist eine Remotecodeausführungs-Schwachstelle in Microsoft Word 2003 SP3, 2007 SP2 und SP3 sowie 2010 SP1, die über fehlerhafte RTF-Daten ausgenutzt werden kann. Der Fehler tritt auf, wenn Word speziell gestaltete RTF-Inhalte unsachgemäß verarbeitet, was zu einer Speicherbeschädigung führt, die einem Angreifer die Ausführung beliebigen Codes im Kontext des aktuellen Benutzers ermöglicht. Mit einem EPSS-Score von 94,1 % (99,5. Perzentil) wurde diese Schwachstelle intensiv von Bedrohungsakteuren ins Visier genommen. Die CISA hat CVE-2012-2539 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office compatibility pack | - |
| microsoft | office web apps | 2010 |
| microsoft | office word viewer | - |
| microsoft | sharepoint server | 2010 |
| microsoft | word | 2003; 2007; 2010 |
Referenzen
- http://www.us-cert.gov/cas/techalerts/TA12-346A.html(Third Party Advisory, US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-079(Patch, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A16073(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-2539(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code ('Code Injection')
CVE-2012-2539 resultiert aus einer unsachgemäßen Verarbeitung von RTF-Datenstrukturen in Microsoft Word. Der Parser validiert bestimmte RTF-Kontrollwörter und deren Parameter nicht korrekt, was es einem Angreifer ermöglicht, über ein gestaltetes Dokument, das den Speicherzustand des Word-Prozesses beschädigt, beliebigen Code einzuschleusen und auszuführen.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2012-2539 hat einen CVSS-v2-Basiswert von 9,3 (Kritisch), der die schwerwiegenden Auswirkungen dieser Remotecodeausführungs-Schwachstelle widerspiegelt. Der Angriff erfordert Benutzerinteraktion — das Öffnen eines bösartigen RTF-Dokuments — aber keine Authentifizierung oder besondere Berechtigungen. Eine erfolgreiche Ausnutzung gewährt dem Angreifer Codeausführung mit den Rechten des Benutzers, der Word ausführt, was in vielen Unternehmensumgebungen vollen Desktop-Zugriff bedeutet. Der EPSS-Score von 94,1 % (99,5. Perzentil) bestätigt intensive Ausnutzungsaktivität. Diese Schwachstelle ist besonders gefährlich in E-Mail-basierten Angriffsszenarien, in denen RTF-Dokumente häufig als Anhänge ausgetauscht werden.
Exploit-Reifegrad
CVE-2012-2539 wurde aktiv in Spear-Phishing-Kampagnen mit bösartigen RTF-Dokumenten ausgenutzt. Die CISA bestätigte die aktive Ausnutzung durch Aufnahme in den KEV-Katalog. Die Schwachstelle wurde in gezielte Angriffs-Toolkits integriert, die von Advanced-Persistent-Threat-Gruppen verwendet werden. Der EPSS-Score von 94,1 % spiegelt die signifikante Ausnutzungsaktivität in Unternehmensumgebungen wider.
Behebung
- Microsoft-Sicherheitsupdate MS12-079 anwenden, das die RTF-Parsing-Schwachstelle in Word behebt. Stellen Sie sicher, dass alle Microsoft-Word-Installationen auf die gepatchte Version aktualisiert sind.
- Auf eine aktuelle Version von Microsoft Office aktualisieren, die aktiv Sicherheitsupdates erhält. Word 2003, 2007 und 2010 werden nicht mehr unterstützt und können weitere ungepatchte Schwachstellen enthalten.
- E-Mail-Gateways konfigurieren, um RTF-Anhänge zu blockieren oder unter Quarantäne zu stellen, die von externen Absendern stammen, da der primäre Angriffsvektor über Spear-Phishing-E-Mails mit bösartigen RTF-Dokumenten erfolgt.
- Geschützte Ansicht in Microsoft Office aktivieren, die Dokumente aus nicht vertrauenswürdigen Quellen in einer eingeschränkten Sandbox öffnet und die automatische Codeausführung verhindert.
- Microsoft-Office-Dateivalidierung implementieren und Kontrollen auf Anwendungsebene bereitstellen, um die Ausführung von Makros und eingebetteten Inhalten in Dokumenten aus nicht vertrauenswürdigen Quellen zu verhindern.
Technische Details
CVE-2012-2539 ist eine Codeausführungs-Schwachstelle (CWE-94) im RTF-Dokumentparser (Rich Text Format) von Microsoft Word. Der Fehler besteht in der Verarbeitung bestimmter RTF-Kontrollwörter und Datenstrukturen, wobei fehlerhafte RTF-Inhalte während des Parsings eine Speicherbeschädigung auslösen können. Wenn Word die speziell gestalteten RTF-Daten verarbeitet, verursacht eine unzureichende Validierung von Kontrollwortparametern einen Pufferüberlauf oder eine Heap-Beschädigung. Ein Angreifer kann RTF-Inhalte sorgfältig konstruieren, die diese Speicherbeschädigung ausnutzen, um die Kontrolle über den Ausführungsfluss des Word-Prozesses zu erlangen und beliebigen Code auszuführen.
Häufig gestellte Fragen
Wird CVE-2012-2539 aktiv ausgenutzt?
Ja, CVE-2012-2539 wurde aktiv in gezielten Spear-Phishing-Kampagnen ausgenutzt. Die CISA bestätigte die aktive Ausnutzung durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen. Der EPSS-Score von 94,1 % spiegelt eine substanzielle Ausnutzungsaktivität wider.
Welche Produkte sind von CVE-2012-2539 betroffen?
Microsoft Word 2003 SP3, Word 2007 SP2 und SP3 sowie Word 2010 SP1 sind betroffen. Andere Microsoft-Office-Komponenten, die RTF-Inhalte verarbeiten, können ebenfalls gefährdet sein.
Wie behebe ich CVE-2012-2539?
Wenden Sie das Microsoft-Sicherheitsupdate MS12-079 an oder aktualisieren Sie auf eine aktuelle unterstützte Version von Microsoft Office. Aktivieren Sie die geschützte Ansicht und blockieren Sie RTF-Anhänge aus nicht vertrauenswürdigen externen Quellen.
Wie schwerwiegend ist CVE-2012-2539?
CVE-2012-2539 hat einen CVSS-v2-Score von 9,3 (Kritisch) und ermöglicht Remotecodeausführung über gestaltete RTF-Dokumente. Der EPSS-Score von 94,1 % bestätigt intensive Ausnutzung, insbesondere durch E-Mail-basierte Zustellung bösartiger Dokumente.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.