CVE-2013-3918
Microsoft Windows Out-of-Bounds Write Vulnerability
Beschreibung
CVE-2013-3918 ist eine Out-of-bounds-Write-Schwachstelle im InformationCardSigninHelper Class ActiveX Control (icardie.dll) in Microsoft Windows. Die Schwachstelle ermoeglicht es einem entfernten Angreifer, ueber eine speziell praeparierte Webseite beliebigen Code auszufuehren oder einen Denial-of-Service auszuloesen. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 87,84 % (99,5. Perzentil) gehoert diese Schwachstelle zu den am intensivsten ausgenutzten ActiveX-Schwachstellen. Die CISA hat CVE-2013-3918 in den KEV-Katalog aufgenommen, und die Schwachstelle wurde als Zero-Day in Watering-Hole-Angriffen aktiv ausgenutzt. Betroffen sind Windows XP bis Windows 8.1 sowie Server 2003 bis Server 2012 R2.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows 8 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2003 | - |
| microsoft | windows server 2008 | r2; sp2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows vista | - |
| microsoft | windows xp | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://blogs.technet.com/b/msrc/archive/2013/11/11/activex-control-issue-being-addressed-in-update-tuesday.aspx(Third Party Advisory)
- http://www.darkreading.com/vulnerability/new-ie-vulnerability-found-in-the-wild-s/240163814/(Broken Link)
- http://www.fireeye.com/blog/technical/2013/11/new-ie-zero-day-found-in-watering-hole-attack.html(Third Party Advisory)
- http://www.us-cert.gov/ncas/alerts/TA13-317A(Third Party Advisory, US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2013/ms13-090(Patch, Vendor Advisory)
- https://isc.sans.edu/forums/diary/16985(Third Party Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A19089(Broken Link, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-3918(US Government Resource)
- https://www.microsoft.com/en-us/msrc/blog/2013/11/technical-details-of-the-targeted-attack-using-ie-vulnerability-cve-2013-3918/(Vendor Advisory)
Schwachstellentyp
CWE-119: Buffer Overflow
CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) ist die uebergeordnete Schwachstellenklasse. Diese Kategorie beschreibt Fehler, bei denen Software Operationen auf einem Speicherpuffer durchfuehrt, ohne die Grenzen dieses Puffers korrekt zu pruefen. CWE-119 umfasst sowohl Lese- als auch Schreibzugriffe ausserhalb der Puffergrenzen.
CWE-787: Out-of-bounds Write
CWE-787 (Out-of-bounds Write) ist die spezifischere Klassifikation. Bei einem Out-of-bounds Write schreibt die Software Daten ueber die Grenzen eines zugewiesenen Speicherbereichs hinaus. Im Fall von CVE-2013-3918 ermoeglicht ein speziell praepariertes ActiveX-Control-Argument einen Schreibzugriff ausserhalb des vorgesehenen Puffers in icardie.dll, was zur Ausfuehrung von beliebigem Code fuehrt.
Auswirkungsanalyse
Remote Code Execution durch Webseitenbesuch: Die gravierendste Auswirkung ist die Moeglichkeit der Remote Code Execution durch den Besuch einer manipulierten Webseite. Da das verwundbare ActiveX Control vom Internet Explorer automatisch geladen wird, genuegt eine Benutzerinteraktion in Form eines Seitenaufrufs. Vertraulichkeit (C:H) - Der Angreifer erhaelt die Berechtigungen des angemeldeten Benutzers und kann auf alle zugaenglichen Dateien und Daten zugreifen. Integritaet (I:H) - Schadsoftware kann installiert, Systemdateien manipuliert und persistente Backdoors eingerichtet werden. Verfuegbarkeit (A:H) - Neben der Code-Ausfuehrung kann die Schwachstelle auch einen Denial-of-Service verursachen, der den Browser oder das gesamte System zum Absturz bringt.
Watering-Hole-Angriffe: CVE-2013-3918 wurde in Watering-Hole-Angriffen eingesetzt, bei denen Angreifer legitime Webseiten kompromittieren, die von den Zielgruppen regelmaessig besucht werden. Diese Angriffsmethode ist besonders effektiv gegen Organisationen, da die Opfer keine verdaechtigen Links anklicken muessen. FireEye dokumentierte den Einsatz der Schwachstelle in solchen gezielten Angriffen.
EPSS und Bedrohungslage: Der EPSS-Score von 87,84 % (99,5. Perzentil) positioniert diese Schwachstelle unter den Top 0,5 % der am wahrscheinlichsten ausgenutzten Schwachstellen. Der Ransomware-Status ist als Unknown klassifiziert, jedoch war die Schwachstelle ein bevorzugtes Werkzeug fuer Advanced Persistent Threat (APT) Gruppen.
Exploit-Reifegrad
CVE-2013-3918 weist die hoechste Exploit-Reife auf. Die Schwachstelle wurde als Zero-Day in gezielten Watering-Hole-Angriffen ausgenutzt, wie von FireEye dokumentiert. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und der EPSS-Score von 87,84 % (99,5. Perzentil) bestaetigt die extrem hohe Ausnutzungswahrscheinlichkeit.
Patch und Advisory: Microsoft adressierte die Schwachstelle im November 2013 mit dem Security Bulletin MS13-090. Das Microsoft Security Response Center bestaetigte die aktive Ausnutzung und stellte ein Kill-Bit-Update bereit. Zusaetzlich veroeffentlichte das US-CERT eine Warnung unter TA13-317A.
APT-Verbindung: Die Schwachstelle wurde von fortgeschrittenen Bedrohungsakteuren in sogenannten Strategic Web Compromises eingesetzt. Die Angreifer kompromittierten Webseiten, die von spezifischen Zielgruppen frequentiert werden, und platzierten dort Exploit-Code fuer CVE-2013-3918.
Ransomware-Verbindung: Der Ransomware-Status ist als Unknown klassifiziert. Die Schwachstelle wurde primaer von APT-Gruppen fuer Spionagezwecke eingesetzt, jedoch koennte sie auch in Ransomware-Kampagnen gegen Organisationen mit veralteter IT-Infrastruktur Verwendung finden.
Behebung
-
Microsoft Security Bulletin MS13-090 installieren: Installieren Sie das Security Bulletin MS13-090, das ein Kill-Bit fuer das verwundbare InformationCardSigninHelper ActiveX Control in icardie.dll setzt. Dieses Update verhindert, dass der Internet Explorer das anfaellige Control laedt. Auf Systemen mit aktuellen Windows-Updates ist dieser Patch laengst enthalten.
-
Betriebssystem und Browser aktualisieren: Die betroffenen Betriebssysteme (Windows XP, Server 2003, Vista, 7, 8, 8.1, Server 2008, Server 2012) haben teilweise ihr End-of-Life erreicht. Migrieren Sie auf ein aktuell unterstuetztes Betriebssystem (Windows 10/11 oder Windows Server 2019/2022) und ersetzen Sie den Internet Explorer durch Microsoft Edge, Chrome oder Firefox.
-
ActiveX-Controls im Internet Explorer deaktivieren: Deaktivieren Sie ActiveX-Controls in den Internet-Explorer-Sicherheitseinstellungen fuer die Internetzone. Alternativ koennen Sie ueber Gruppenrichtlinien spezifische Kill-Bits setzen, um nur das verwundbare Control zu blockieren, waehrend andere ActiveX-Controls funktionsfaehig bleiben.
-
Enhanced Mitigation Experience Toolkit (EMET) einsetzen: Auf aelteren Windows-Versionen kann EMET zusaetzlichen Schutz gegen Speicherkorruptionsschwachstellen bieten. Konfigurieren Sie EMET-Schutzprofile fuer den Internet Explorer, die ASLR, DEP und andere Exploit-Mitigationen erzwingen.
-
Netzwerkueberwachung auf Watering-Hole-Indikatoren: Implementieren Sie Netzwerksicherheitsloesungen, die verdaechtige ActiveX-Control-Instanziierungen und ungewoehnliche Download-Muster erkennen. Ueberwachen Sie DNS-Anfragen und Web-Traffic auf Indikatoren fuer kompromittierte Webseiten.
Technische Details
Die Schwachstelle befindet sich im InformationCardSigninHelper Class ActiveX Control, implementiert in der Bibliothek icardie.dll. Dieses ActiveX Control ist Teil der Windows CardSpace-Infrastruktur und wird standardmaessig im Internet Explorer registriert.
Ursache des Out-of-bounds Write: Das ActiveX Control validiert bestimmte Eingabeparameter nicht ausreichend. Durch die Uebergabe speziell praeparierter Daten an das Control wird ein Schreibzugriff ausserhalb der Grenzen eines zugewiesenen Speicherpuffers ausgeloest. Der Angreifer kann dadurch angrenzende Speicherbereiche ueberschreiben und die Kontrolle ueber den Programmfluss uebernehmen, um beliebigen Code mit den Berechtigungen des aktuellen Benutzers auszufuehren.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N), aber eine Benutzerinteraktion (UI:R) in Form des Besuchs einer manipulierten Webseite. Der Scope ist unveraendert (S:U), und alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H). Die niedrige Angriffskomplexitaet zeigt, dass der Exploit zuverlaessig funktioniert und keine aufwendige Heap-Manipulation erfordert.
Exploit-Mechanismus: Eine manipulierte Webseite instantiiert das InformationCardSigninHelper ActiveX Control ueber ein <object>-Tag mit der entsprechenden CLSID und uebergibt speziell konstruierte Parameter. Die fehlerhafte Parameterverarbeitung in icardie.dll loest den Out-of-bounds Write aus, der zur Ausfuehrung von Shellcode fuehrt.
Betroffene Systeme: Windows XP SP2 und SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 und R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold und R2 sowie Windows RT Gold und 8.1. Die breite Palette betroffener Systeme machte die Schwachstelle zu einem besonders wirkungsvollen Angriffswerkzeug.
Häufig gestellte Fragen
Was ist ein Watering-Hole-Angriff und wie wurde CVE-2013-3918 dabei eingesetzt?
Bei einem Watering-Hole-Angriff kompromittieren Angreifer legitime Webseiten, die von einer bestimmten Zielgruppe regelmaessig besucht werden. Im Fall von CVE-2013-3918 platzierten APT-Gruppen Exploit-Code auf solchen Webseiten, der das verwundbare ActiveX Control im Internet Explorer der Besucher ausloeste. Da die Opfer vertraute Webseiten besuchten, war keine verdaechtige Benutzerinteraktion erforderlich.
Sind aktuelle Windows-Versionen wie Windows 10/11 betroffen?
Windows 10 und Windows 11 sind grundsaetzlich nicht direkt betroffen, da das verwundbare ActiveX Control in neueren Windows-Versionen entweder entfernt oder standardmaessig deaktiviert wurde. Zudem wird der Internet Explorer in Windows 11 nicht mehr unterstuetzt. Auf Windows 10 sollte dennoch sichergestellt werden, dass alle kumulativen Updates installiert sind.
Was ist ein Kill-Bit und wie schuetzt es vor dieser Schwachstelle?
Ein Kill-Bit ist ein Registry-Eintrag, der den Internet Explorer anweist, ein bestimmtes ActiveX Control nicht zu laden. Microsoft setzt Kill-Bits fuer verwundbare Controls ueber Sicherheitsupdates. Fuer CVE-2013-3918 verhindert das Kill-Bit, dass icardie.dll im Browser instanziiert wird, wodurch der Angriffsvektor vollstaendig blockiert wird.
Wie kann ich feststellen, ob das verwundbare ActiveX Control auf meinem System registriert ist?
Sie koennen in der Windows-Registry pruefen, ob die CLSID des InformationCardSigninHelper Controls unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility einen Kill-Bit-Eintrag besitzt. Alternativ koennen Schwachstellenscanner wie Nessus oder Qualys den Patch-Stand automatisch ueberpruefen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.