CVE-2013-2551
Microsoft Internet Explorer Use-After-Free Vulnerability
Beschreibung
CVE-2013-2551 ist eine Use-After-Free-Schwachstelle in Microsoft Internet Explorer Version 6 bis 10, die es entfernten Angreifern ermöglicht, über eine speziell gestaltete Webseite beliebigen Code auszuführen. Der Fehler befindet sich in der VML-Rendering-Engine (Vector Markup Language), wo ein Objekt im Speicher vorzeitig freigegeben und anschließend mit vom Angreifer kontrollierten Daten wiederverwendet werden kann. Mit einem EPSS-Score von 97,3 % (99,9. Perzentil) gehört diese Schwachstelle zu den am häufigsten ausgenutzten Browser-Schwachstellen überhaupt. Die CISA hat CVE-2013-2551 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet explorer | 6; 7; 8; 9; 10 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://h30499.www3.hp.com/t5/HP-Security-Research-Blog/Pwn2Own-2013/ba-p/5981157(Broken Link, Third Party Advisory)
- http://twitter.com/VUPEN/statuses/309479075385327617(Broken Link)
- http://twitter.com/thezdi/statuses/309452625173176320(Not Applicable)
- http://www.us-cert.gov/ncas/alerts/TA13-134A(Third Party Advisory, US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2013/ms13-037(Patch, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A16317(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-2551(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CVE-2013-2551 wird durch eine Use-After-Free-Bedingung in der VML-Rendering-Engine des Internet Explorer verursacht. Bei der Verarbeitung speziell gestalteter VML-Inhalte gibt der Browser ein Speicherobjekt vorzeitig frei, aber nachfolgende Operationen referenzieren weiterhin den freigegebenen Speicher, wodurch ein Angreifer diesen mit schädlichen Daten überschreiben und die Kontrolle über den Programmablauf erlangen kann.
Mehr erfahren: CWE-416 — Use After Free
Auswirkungsanalyse
CVE-2013-2551 hat einen CVSS-v2-Basiswert von 9,3 (Kritisch), was die schwerwiegenden Folgen einer erfolgreichen Ausnutzung widerspiegelt. Die Schwachstelle ist über einen Webbrowser aus der Ferne ausnutzbar, ohne dass eine Authentifizierung erforderlich ist — ein Angreifer muss das Opfer lediglich auf eine bösartige oder kompromittierte Webseite locken. Eine erfolgreiche Ausnutzung gewährt dem Angreifer die vollständige Kontrolle über das betroffene System mit den Rechten des angemeldeten Benutzers. Der EPSS-Score von 97,3 % (99,9. Perzentil) bestätigt, dass diese Schwachstelle zu den am häufigsten ausgenutzten in der freien Wildbahn gehört. Organisationen, die noch ältere Internet-Explorer-Versionen verwenden, sind einem erheblichen Risiko durch Drive-by-Download-Angriffe ausgesetzt.
Exploit-Reifegrad
Öffentlicher Exploit-Code für CVE-2013-2551 ist seit der Offenlegung im Jahr 2013 weithin verfügbar, und mehrere Exploit-Kits haben diese Schwachstelle in ihr Arsenal aufgenommen. Die Schwachstelle wurde insbesondere bei gezielten Angriffen eingesetzt und beim Pwn2Own-Wettbewerb 2013 demonstriert. Die CISA bestätigte die aktive Ausnutzung durch Aufnahme in den KEV-Katalog. Der EPSS-Score von 97,3 % (99,9. Perzentil) spiegelt eine nahezu flächendeckende Ausnutzungsaktivität wider.
Behebung
- Microsoft-Sicherheitsupdate MS13-037 anwenden, das die Use-After-Free-Schwachstelle in der VML-Rendering-Engine des Internet Explorer behebt. Stellen Sie sicher, dass alle Internet-Explorer-Installationen in der Organisation auf die gepatchte Version aktualisiert sind.
- Von Internet Explorer auf einen modernen Browser migrieren wie Microsoft Edge, Google Chrome oder Mozilla Firefox. Internet Explorer hat das Ende seiner Lebensdauer erreicht und erhält keine Sicherheitsupdates mehr.
- Netzwerkbasierte Schutzmaßnahmen implementieren, einschließlich Webfilterung und Intrusion-Prevention-Systeme (IPS) mit Signaturen für bekannte IE-Exploit-Muster, um Ausnutzungsversuche gegen ältere Browser-Installationen zu erkennen und zu blockieren.
- Enhanced Protected Mode aktivieren im Internet Explorer, wo eine sofortige Migration nicht möglich ist, und sicherstellen, dass Benutzer mit minimalen Berechtigungen arbeiten, um die Auswirkungen einer erfolgreichen Ausnutzung zu begrenzen.
- Asset-Inventur durchführen, um alle Systeme zu identifizieren, die noch Internet Explorer verwenden, und deren Migration oder Isolation von nicht vertrauenswürdigen Webinhalten priorisieren.
Technische Details
CVE-2013-2551 nutzt eine Use-After-Free-Schwachstelle (CWE-416) in der Verarbeitung von VML-Objekten (Vector Markup Language) durch Microsoft Internet Explorer aus. Der Fehler tritt in der Verarbeitung der VGX.DLL-Bibliothek auf, wo die Stroke-Eigenschaft eines VML-Shape-Elements eine vorzeitige Freigabe eines Speicherobjekts auslösen kann. Wenn die Rendering-Engine anschließend versucht, auf dieses freigegebene Objekt während der Layout-Neuberechnung zuzugreifen, kann der Angreifer den Inhalt des neu zugewiesenen Speicherbereichs kontrollieren. Durch die Erstellung spezifischer VML-Inhalte mit manipulierten Stroke-Dash-Style-Arrays erreicht ein Angreifer die Ausführung beliebigen Codes im Kontext des Browserprozesses. Der Angriff erfordert keine Plugins über die integrierte VML-Unterstützung hinaus, die in allen betroffenen IE-Versionen (6 bis 10) vorhanden ist.
Häufig gestellte Fragen
Wird CVE-2013-2551 aktiv ausgenutzt?
Ja, CVE-2013-2551 wird seit 2013 umfangreich in freier Wildbahn ausgenutzt. Die CISA bestätigte die aktive Ausnutzung durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen. Mehrere Exploit-Kits haben diese Schwachstelle integriert, und der EPSS-Score von 97,3 % zählt sie zu den am häufigsten ausgenutzten Browser-Schwachstellen überhaupt.
Welche Produkte sind von CVE-2013-2551 betroffen?
Microsoft Internet Explorer Version 6, 7, 8, 9 und 10 auf allen unterstützten Windows-Betriebssystemen sind betroffen. Die Schwachstelle befindet sich in der VGX.DLL-Komponente, die für das VML-Rendering verantwortlich ist und in allen betroffenen IE-Versionen vorhanden ist.
Wie behebe ich CVE-2013-2551?
Wenden Sie das Microsoft-Sicherheitsupdate MS13-037 an. Da der Internet Explorer jedoch das Ende seiner Lebensdauer erreicht hat, wird die Migration auf einen modernen Browser wie Microsoft Edge, Chrome oder Firefox empfohlen. Falls ältere IE-Versionen weiterhin benötigt werden, isolieren Sie diese Systeme von nicht vertrauenswürdigen Webinhalten.
Wie schwerwiegend ist CVE-2013-2551?
CVE-2013-2551 hat einen CVSS-v2-Score von 9,3 (Kritisch) und ermöglicht die vollständige Remotecodeausführung durch einen einfachen Besuch einer bösartigen Webseite. Keine Benutzerinteraktion über den Seitenbesuch hinaus ist erforderlich. Der EPSS-Score von 97,3 % bestätigt, dass sie eine der gefährlichsten Browser-Schwachstellen bleibt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.