CVE-2013-3893
Microsoft Internet Explorer Resource Management Errors Vulnerability
Beschreibung
CVE-2013-3893 ist eine Use-after-free-Schwachstelle in der SetMouseCapture-Implementierung der mshtml.dll in Microsoft Internet Explorer 6 bis 11. Ein Angreifer kann durch speziell praeparierte JavaScript-Strings in einer Webseite beliebigen Code auf dem System des Opfers ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 8.8 (HIGH) bewertet und wurde in gezielten Angriffen aktiv ausgenutzt.
Die CISA hat CVE-2013-3893 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2. September 2025. Der ausserordentlich hohe EPSS-Score von 81.21 % (99. Perzentil) platziert diese Schwachstelle unter den Top 1 % der am staerksten ausgenutzten Schwachstellen weltweit. Obwohl Internet Explorer offiziell eingestellt wurde, befinden sich weiterhin Systeme im Einsatz, die auf die anfaellige MSHTML-Engine angewiesen sind.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet explorer | 6; 7; 8; 9; 10; 11 |
Referenzen
- http://blogs.technet.com/b/srd/archive/2013/09/17/cve-2013-3893-fix-it-workaround-available.aspx(Exploit)
- http://blogs.technet.com/b/srd/archive/2013/10/08/ms13-080-addresses-two-vulnerabilities-under-limited-targeted-attacks.aspx(Vendor Advisory)
- http://jvn.jp/en/jp/JVN27443259/index.html(Third Party Advisory)
- http://jvndb.jvn.jp/ja/contents/2013/JVNDB-2013-000093.html(Third Party Advisory)
- http://packetstormsecurity.com/files/162585/Microsoft-Internet-Explorer-8-SetMouseCapture-Use-After-Free.html(Exploit)
- http://pastebin.com/raw.php?i=Hx1L5gu6(Exploit)
- http://technet.microsoft.com/security/advisory/2887505(Vendor Advisory)
- http://www.securityfocus.com/bid/62453(Broken Link)
- http://www.us-cert.gov/ncas/alerts/TA13-288A(US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2013/ms13-080(Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A18665(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-3893(US Government Resource)
Schwachstellentyp
CWE-416: Verwendung nach Freigabe (Use After Free)
CVE-2013-3893 basiert auf CWE-416 (Verwendung nach Freigabe), einer besonders gefaehrlichen Speicherkorruptions-Schwachstellenklasse. In der SetMouseCapture-Implementierung der mshtml.dll wird ein Speicherbereich freigegeben, dessen Pointer jedoch weiterhin verwendet wird. Durch gezieltes JavaScript kann ein Angreifer den freigegebenen Speicher mit kontrolliertem Inhalt neu belegen und so die Ausfuehrung von beliebigem Code erzwingen.
Mehr erfahren: CWE-416 — Verwendung nach Freigabe
Auswirkungsanalyse
Die Auswirkungen von CVE-2013-3893 sind aufgrund der historisch weiten Verbreitung von Internet Explorer erheblich. Der CVSS v3.1-Score von 8.8 (HIGH) mit dem Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk ohne Authentifizierung erfolgen kann — es genuegt, dass ein Benutzer eine manipulierte Webseite besucht. Vertraulichkeit (High): Durch die Codeausfuehrung im Kontext des Browsers kann der Angreifer auf lokale Dateien, Cookies, gespeicherte Passwoerter und Session-Tokens zugreifen. Integritaet (High): Der Angreifer kann beliebige Software installieren, Systemdateien aendern und Backdoors einrichten. Verfuegbarkeit (High): Das betroffene System kann vollstaendig kompromittiert werden. Der EPSS-Score von 81.21 % im 99. Perzentil ist ausserordentlich hoch und zeigt eine nahezu sichere aktive Ausnutzung. Der Angriff wurde durch die Verwendung von ms-help:-URLs demonstriert, die das Laden von hxds.dll ausloesen.
Exploit-Reifegrad
CVE-2013-3893 weist eine sehr hohe Exploit-Reife auf. Oeffentlicher Exploit-Code ist fuer diese Schwachstelle verfuegbar, unter anderem ueber einen Microsoft-TechNet-Blog-Beitrag mit Fix-It-Workaround und einen Pastebin-Eintrag mit Exploit-Code. Ein ausfuehrlicher Exploit ist zudem ueber Packet Storm Security verfuegbar. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 2. September 2025. Der EPSS-Score von 81.21 % (99. Perzentil) ist einer der hoechsten ueberhaupt und zeigt nahezu sichere Ausnutzungsaktivitaet. Microsoft hat die Schwachstelle im Sicherheitsbulletin MS13-080 behoben, das gezielt zwei Schwachstellen unter eingeschraenkten Angriffen adressierte. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Internet Explorer deinstallieren oder ersetzen: Microsoft Internet Explorer hat das End-of-Life erreicht und erhaelt keine Sicherheitsupdates mehr. Migrieren Sie auf Microsoft Edge oder einen anderen modernen Browser. Deinstallieren Sie Internet Explorer auf allen Systemen, auf denen er nicht mehr benoetigt wird.
-
MSHTML-Engine deaktivieren: Falls Legacy-Anwendungen die Internet Explorer-Rendering-Engine (MSHTML/Trident) verwenden, pruefen Sie, ob diese auf Microsoft Edge WebView2 migriert werden koennen. Beschraenken Sie den Zugriff auf die MSHTML-Engine ueber Windows-Gruppenrichtlinien.
-
Sicherheitsupdate MS13-080 installieren: Falls noch Internet Explorer auf aelteren Systemen betrieben wird, stellen Sie sicher, dass das Sicherheitsbulletin MS13-080 installiert ist, das CVE-2013-3893 behebt.
-
Web-Content-Filterung einsetzen: Implementieren Sie Web-Proxies oder Firewalls, die verdaechtige JavaScript-Inhalte und ms-help:-URLs blockieren koennen. Konfigurieren Sie Enhanced Security Configuration auf Windows-Servern.
-
Endpoint Detection and Response ueberwachen: Konfigurieren Sie EDR-Loesungen zur Erkennung verdaechtiger Aktivitaeten von Internet Explorer-Prozessen, insbesondere das Laden ungewoehnlicher DLLs wie hxds.dll oder die Ausfuehrung von Code aus dem Browser-Kontext.
Technische Details
CVE-2013-3893 betrifft Microsoft Internet Explorer in den Versionen 6, 7, 8, 9, 10 und 11. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) durchfuehrbar ist. Es sind keine Privilegien erforderlich (PR:N), jedoch muss der Benutzer eine manipulierte Webseite besuchen (UI:R).
Die Schwachstelle liegt in der SetMouseCapture-Implementierung der mshtml.dll, der zentralen HTML-Rendering-Engine von Internet Explorer. Es handelt sich um eine Use-after-free-Schwachstelle (CWE-416), bei der ein Speicherobjekt freigegeben wird, der zugehoerige Pointer jedoch weiterhin verwendet wird. Durch speziell gestaltete JavaScript-Strings kann ein Angreifer den freigegebenen Speicherbereich mit kontrollierten Daten neu belegen (Heap Spraying) und so die Kontrolle ueber den Programmablauf uebernehmen. Der Angriff wurde durch die Verwendung von ms-help:-URLs demonstriert, die das Laden der hxds.dll ausloesen — eine DLL, die zusaetzliche Angriffsflasche bietet.
Der Scope bleibt unveraendert (S:U), und alle drei Impact-Metriken stehen auf High, was die vollstaendige Kompromittierung des Systems ermoeglicht. Die Schwachstelle betrifft alle gaengigen IE-Versionen von 6 bis 11 und damit praktisch alle Windows-Installationen der damaligen Zeit.
Häufig gestellte Fragen
Wird CVE-2013-3893 aktiv ausgenutzt?
Ja, CVE-2013-3893 wird aktiv ausgenutzt. Oeffentlicher Exploit-Code ist ueber mehrere Quellen verfuegbar, und die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt. Der EPSS-Score von 81.21 % (99. Perzentil) zeigt eine nahezu sichere Ausnutzung.
Welche Produkte sind von CVE-2013-3893 betroffen?
Betroffen sind Microsoft Internet Explorer in den Versionen 6, 7, 8, 9, 10 und 11. Obwohl Internet Explorer offiziell eingestellt wurde, verwenden einige Legacy-Anwendungen weiterhin die MSHTML-Rendering-Engine, die ebenfalls anfaellig sein kann.
Wie behebe ich CVE-2013-3893?
Die beste Massnahme ist die vollstaendige Migration weg von Internet Explorer auf einen modernen Browser. Falls Legacy-Systeme betroffen sind, installieren Sie das Sicherheitsbulletin MS13-080 und beschraenken Sie den Internet-Explorer-Zugriff ueber Gruppenrichtlinien.
Wie schwerwiegend ist CVE-2013-3893?
CVE-2013-3893 wird mit einem CVSS v3.1-Score von 8.8 als HIGH eingestuft. Der EPSS-Score von 81.21 % ist einer der hoechsten ueberhaupt und zeigt, dass die Schwachstelle zu den am intensivsten ausgenutzten weltweit gehoert. Oeffentlicher Exploit-Code ist weit verfuegbar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.