CVE-2012-4969
Microsoft Internet Explorer Use-After-Free Vulnerability
Beschreibung
CVE-2012-4969 ist eine Use-After-Free-Schwachstelle in Microsoft Internet Explorer, die es entfernten Angreifern ermöglicht, über eine manipulierte Webseite beliebigen Code auszuführen. Der Fehler tritt auf, wenn Internet Explorer auf ein zuvor freigegebenes Speicherobjekt während des HTML-Renderings zugreift, wodurch ein Angreifer den Inhalt des freigegebenen Speichers kontrollieren und die Programmausführung umleiten kann. Die CISA hat CVE-2012-4969 in ihren Katalog der bekannten ausgenutzten Sicherheitslücken aufgenommen und bestätigt damit die aktive Ausnutzung. Mit einem EPSS-Score von 91,8 % (99. Perzentil) stellt diese Schwachstelle ein kritisches Risiko für Systeme mit ungepatchten Versionen von Internet Explorer dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet explorer | 6; 7; 8; 9 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://blog.vulnhunt.com/index.php/2012/09/17/ie-execcommand-fuction-use-after-free-vulnerability-0day_en/(Broken Link)
- http://dev.metasploit.com/redmine/projects/framework/repository/entry/modules/exploits/windows/browser/ie_execcommand_uaf.rb(Broken Link)
- http://eromang.zataz.com/2012/09/16/zero-day-season-is-really-not-over-yet/(Third Party Advisory)
- http://technet.microsoft.com/security/advisory/2757760(Patch, Vendor Advisory)
- http://www.kb.cert.org/vuls/id/480095(Third Party Advisory, US Government Resource)
- http://www.securitytracker.com/id?1027538(Third Party Advisory, VDB Entry)
- http://www.securityweek.com/new-internet-explorer-zero-day-being-exploited-wild(Third Party Advisory)
- http://www.us-cert.gov/cas/techalerts/TA12-255A.html(Third Party Advisory, US Government Resource)
- http://www.us-cert.gov/cas/techalerts/TA12-262A.html(Third Party Advisory, US Government Resource)
- http://www.us-cert.gov/cas/techalerts/TA12-265A.html(Third Party Advisory, US Government Resource)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A15729(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-4969(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CVE-2012-4969 nutzt eine Use-After-Free-Bedingung in Microsoft Internet Explorer aus, bei der der Browser weiterhin auf ein Speicherobjekt zugreift, nachdem dieses freigegeben wurde. Wenn der freigegebene Speicher für einen anderen Zweck neu zugewiesen wird, ermöglicht die veraltete Zeiger-Dereferenzierung einem Angreifer, die Inhalte zu manipulieren und durch kontrollierte Heap-Manipulation beliebigen Code auszuführen.
Mehr erfahren: CWE-416 — Use After Free
Auswirkungsanalyse
CVE-2012-4969 ist über eine manipulierte Webseite aus der Ferne ausnutzbar — ein Angreifer muss lediglich ein Opfer auf eine bösartige Website locken. Weder Authentifizierung noch besondere Berechtigungen sind erforderlich, und die Ausnutzung kann ohne zusätzliche Benutzerinteraktion über den Seitenbesuch hinaus erfolgen. Die Use-After-Free-Schwachstelle ermöglicht die Ausführung beliebigen Codes mit den Berechtigungen des Internet-Explorer-Prozesses. Dies bedeutet, dass Vertraulichkeit, Integrität und Verfügbarkeit des Zielsystems vollständig gefährdet sind — ein Angreifer kann Anmeldedaten stehlen, Schadsoftware installieren oder dauerhaften Zugriff einrichten. Der EPSS-Score von 91,8 % (99. Perzentil) weist auf nahezu sichere Ausnutzungsaktivität hin.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2012-4969 bestätigt, indem sie die Schwachstelle am 8. Juni 2022 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 91,8 % ordnet diese Schwachstelle im 99. Perzentil ein und weist auf eine extrem hohe Ausnutzungswahrscheinlichkeit hin. Diese Schwachstelle wurde aktiv in Zero-Day-Angriffen ausgenutzt, bevor ein Patch verfügbar war, und war ein prominentes Ziel für Exploit-Kits und Drive-by-Download-Kampagnen. Obwohl keine spezifische Ransomware-Verbindung gemeldet wurde, macht die Remote-Code-Execution-Fähigkeit über einfache Webseitenbesuche diese Schwachstelle hocheffektiv für Massenausnutzungskampagnen und Watering-Hole-Angriffe.
Behebung
- Microsoft-Sicherheitsupdates sofort einspielen: Installieren Sie alle relevanten Sicherheitspatches für Internet Explorer gemäß der CISA-KEV-Maßnahme, um die Use-After-Free-Schwachstelle zu beheben.
- Von Internet Explorer migrieren: Internet Explorer hat das End-of-Life erreicht. Migrieren Sie alle Benutzer und Anwendungen auf einen modernen, unterstützten Browser wie Microsoft Edge, Google Chrome oder Mozilla Firefox.
- Enhanced Protected Mode (EPM) implementieren: Falls Internet Explorer vorübergehend weiter genutzt werden muss, aktivieren Sie den Enhanced Protected Mode, um den Browser in einer eingeschränkteren Sandbox auszuführen.
- Web-Filterung und URL-Reputationsdienste einsetzen: Blockieren Sie den Zugang zu bekannten bösartigen Domains und implementieren Sie Echtzeit-URL-Reputationsprüfungen.
- Auf Ausnutzungsindikatoren überwachen: Achten Sie auf ungewöhnliches Internet-Explorer-Prozessverhalten wie unerwartete Child-Process-Erstellung, Shellcode-Ausführungsmuster oder Netzwerkverbindungen zu Command-and-Control-Infrastruktur.
Technische Details
CVE-2012-4969 ist eine Use-After-Free-Schwachstelle in der HTML-Rendering-Engine von Microsoft Internet Explorer. Die Schwachstelle wird ausgelöst, wenn Internet Explorer eine manipulierte Webseite verarbeitet, die dazu führt, dass ein bestimmtes DOM-Objekt vorzeitig freigegeben wird, während noch eine Referenz darauf existiert. Wenn der Browser anschließend den verwaisten Zeiger dereferenziert, liest oder schreibt er in Speicher, der möglicherweise für ein anderes Objekt neu zugewiesen wurde. Durch Heap-Spraying-Techniken kann ein Angreifer den freigegebenen Speicher mit kontrollierten Daten füllen, die manipulierte Funktionszeiger oder VTable-Einträge enthalten, und so die Ausführung auf beliebigen Code umleiten. Die Schwachstelle ist unter CWE-416 klassifiziert, da die Ursache in der fortgesetzten Nutzung eines Zeigers nach der Freigabe des referenzierten Speichers liegt.
Häufig gestellte Fragen
Wird CVE-2012-4969 aktiv ausgenutzt?
Ja. Die CISA hat die aktive Ausnutzung von CVE-2012-4969 bestätigt. Der EPSS-Score von 91,8 % im 99. Perzentil weist auf nahezu sichere Ausnutzung hin, und die Schwachstelle wurde vor Verfügbarkeit eines Patches in Zero-Day-Angriffen eingesetzt.
Welche Produkte sind von CVE-2012-4969 betroffen?
CVE-2012-4969 betrifft Microsoft Internet Explorer. Mehrere Versionen waren anfällig, und das Produkt hat inzwischen das End-of-Life erreicht. Alle Benutzer sollten auf einen modernen Browser migriert sein.
Wie behebe ich CVE-2012-4969?
Spielen Sie alle verfügbaren Microsoft-Sicherheitsupdates für Internet Explorer ein. Die effektivste langfristige Behebung ist die vollständige Migration auf einen modernen, unterstützten Browser wie Microsoft Edge, Google Chrome oder Mozilla Firefox.
Wie schwerwiegend ist CVE-2012-4969?
CVE-2012-4969 ist eine kritisch schwere Schwachstelle mit einem EPSS-Score im 99. Perzentil. Sie ermöglicht Remote-Codeausführung durch einen einfachen Besuch einer bösartigen Webseite ohne Authentifizierung. Die Use-After-Free-Bedingung wurde aktiv in Zero-Day-Angriffen ausgenutzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.