CVE-2014-1776
Microsoft Internet Explorer Memory Corruption Vulnerability
Beschreibung
CVE-2014-1776 ist eine kritische Use-After-Free-Speicherkorruptionsschwachstelle (CWE-416) in Microsoft Internet Explorer Versionen 6 bis 11. Die Schwachstelle ermöglicht es Remote-Angreifern, beliebigen Code im Kontext des aktuellen Benutzers auszuführen, indem eine Use-After-Free-Bedingung bei der Verarbeitung speziell gestalteter Webinhalte ausgenutzt wird. Mit einem CVSS-3.1-Score von 9.8 wurde diese Zero-Day-Schwachstelle aktiv in gezielten Angriffen ausgenutzt, bevor ein Patch verfügbar war, was Microsoft zur Veröffentlichung eines außerplanmäßigen Notfall-Sicherheitsupdates (MS14-021) veranlasste. CISA hat CVE-2014-1776 am 28. Januar 2022 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. Juli 2022. Der EPSS-Score von 0,81844 (99,18. Perzentile) spiegelt die historische Schwere und fortgesetzte Relevanz dieses Exploits wider.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet explorer | 6; 7; 8; 9; 10; 11 |
Referenzen
- http://blogs.technet.com/b/srd/archive/2014/04/30/protection-strategies-for-the-security-advisory-2963983-ie-0day.aspx(Broken Link, Mitigation)
- http://secunia.com/advisories/57908(Broken Link)
- http://securitytracker.com/id?1030154(Broken Link, Third Party Advisory, VDB Entry)
- http://www.fireeye.com/blog/uncategorized/2014/04/new-zero-day-exploit-targeting-internet-explorer-versions-9-through-11-identified-in-targeted-attacks.html(Broken Link)
- http://www.kb.cert.org/vuls/id/222929(Mitigation, Third Party Advisory, US Government Resource)
- http://www.osvdb.org/106311(Broken Link)
- http://www.securityfocus.com/bid/67075(Broken Link, Third Party Advisory, VDB Entry)
- http://www.signalsec.com/cve-2014-1776-ie-0day-analysis/(Exploit, Third Party Advisory)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2014/ms14-021(Patch, Vendor Advisory)
- https://technet.microsoft.com/library/security/2963983(Mitigation, Patch, Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2014-1776-use-after-free-vulnerability-in-microsoft-internet-explorer-detection-script(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2014-1776-use-after-free-vulnerability-in-microsoft-internet-explorer-mitigation-scripts(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-1776(US Government Resource)
Schwachstellentyp
CWE-416: Verwendung nach Freigabe (Use After Free)
Verwendung nach Freigabe (Use After Free, UAF) ist eine kritische Speichersicherheitsschwachstelle, die auftritt, wenn Software weiterhin einen Zeiger referenziert, nachdem der Speicher, auf den er zeigt, freigegeben (deallokiert) wurde. Sobald Speicher freigegeben ist, kann er vom Speicherverwalter für andere Zwecke neu zugewiesen werden. Wenn der ursprüngliche (nun hängende) Zeiger anschließend dereferenziert wird, kann das Programm aus Speicher lesen oder in Speicher schreiben, der nun vollständig andere Datenstrukturen enthält, was zu Datenkorruption, Informationsoffenlegung oder beliebiger Codeausführung führt. UAF-Schwachstellen sind besonders verbreitet in komplexen Anwendungen mit manueller Speicherverwaltung wie Webbrowsern, Dokumenten-Renderern und Betriebssystem-Kerneln.
Bei CVE-2014-1776 besteht die Use-After-Free-Bedingung in Internet Explorers Verarbeitung von CMarkup-Objekten innerhalb der MSHTML-Rendering-Engine. Bei der Verarbeitung speziell gestalteter HTML-Inhalte gibt IE ein CMarkup-Objekt frei, behält aber eine Referenz darauf bei. Nachfolgende Operationen dereferenzieren diesen veralteten Zeiger, wodurch ein Angreifer den Inhalt des freigegebenen Speichers durch Heap-Manipulationstechniken wie Heap Spraying kontrollieren kann. Durch sorgfältige Anordnung angreifergesteuerter Daten (einschließlich gestalteter Virtual-Function-Table-Zeiger) im freigegebenen Speicherbereich erreicht der Angreifer Codeausführung, wenn der hängende Zeiger zum Aufruf einer virtuellen Methode verwendet wird. Mehr über Use After Free (CWE-416) erfahren
Auswirkungsanalyse
CVE-2014-1776 hat einen CVSS-3.1-Basiswert von 9.8 (CRITICAL), der die verheerenden Auswirkungen browserbasierter Remote-Code-Ausführung widerspiegelt.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung ermöglicht dem Angreifer, beliebigen Code mit den Rechten des Internet-Explorer-Prozesses auszuführen, der typischerweise im Kontext des angemeldeten Benutzers läuft. Dies gewährt Zugriff auf alle Dateien, Anmeldedaten, im Browser gespeicherte Passwörter, Cookies, Sitzungstoken und für diesen Benutzer zugängliche Daten. In Unternehmensumgebungen, in denen Benutzer mit Domänen-Anmeldedaten browsen, kann der Angreifer Authentifizierungstoken für laterale Bewegung im Unternehmensnetzwerk abgreifen.
Integrität (Hoch): Codeausführung im Browser-Kontext ermöglicht dem Angreifer, Malware zu installieren, lokale Dateien zu modifizieren, Browser-Einstellungen zu ändern, Inhalte in andere Web-Sitzungen einzuschleusen und Persistenzmechanismen zu etablieren. Der Angreifer kann Remote-Access-Trojaner (RATs), Keylogger oder Anmeldedaten-Harvesting-Implantate einsetzen. Verfügt der Benutzer über Administratorrechte, erlangt der Angreifer volle Systemkontrolle.
Verfügbarkeit (Hoch): Der Angreifer kann den Browser zum Absturz bringen, Benutzerdaten beschädigen, Ransomware einsetzen oder das kompromittierte System als Ausgangspunkt für Denial-of-Service-Angriffe nutzen. In gezielten Angriffsszenarien wurde die Ausnutzung als Teil von Kampagnen beobachtet, die darauf abzielten, den Betrieb bestimmter Organisationen zu stören und sensible Daten zu exfiltrieren.
Scope (Unverändert): Obwohl der CVSS-Scope unverändert ist, erstreckt sich die praktische Ausnutzung häufig über die Browser-Sandbox hinaus, insbesondere bei älteren IE-Versionen mit schwächerem Sandboxing. In Kombination mit Privilegieneskalation erreichen die Auswirkungen das vollständige Betriebssystem. Der EPSS-Score von 0,81844 (99,18. Perzentile) bestätigt die extreme Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Aktive Zero-Day-Ausnutzung: CVE-2014-1776 wurde als Zero-Day-Schwachstelle in gezielten Angriffen ausgenutzt, bevor Microsoft Patches veröffentlichte. FireEye meldete die Angriffe zunächst und identifizierte eine ausgefeilte Ausnutzung, die auf Internet Explorer Versionen 9 bis 11 in Kampagnen abzielte, die Advanced Persistent Threat (APT)-Gruppen zugeschrieben werden. Der Zero-Day-Status veranlasste CERT/CC zur Veröffentlichung eines Advisorys und Microsoft zur Herausgabe eines außerplanmäßigen Notfall-Patches.
Ransomware-Bezug: Der CISA-KEV-Katalog ordnet CVE-2014-1776 nicht direkt Ransomware-Kampagnen zu. Allerdings sind browserbasierte Remote-Code-Execution-Schwachstellen grundlegende Werkzeuge in vielen Angriffsketten, die letztendlich zu Ransomware-Einsatz führen.
Öffentliche Exploits: Öffentliche Exploit-Analysen und Proof-of-Concept-Code sind verfügbar, einschließlich einer detaillierten technischen Analyse auf SignalSec. Das Microsoft Security Bulletin MS14-021 enthält offizielle Patch-Informationen, und CERT/CC veröffentlichte Schwachstellenhinweis VU#222929 mit Mitigationsanleitungen.
EPSS-Kontext: Der EPSS-Score von 0,81844 (99,18. Perzentile) platziert diese Schwachstelle im obersten 1% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit, was sowohl die historische Ausnutzung als auch das fortgesetzte Vorhandensein nicht gepatchter Legacy-IE-Installationen widerspiegelt.
KEV-Frist: Die CISA-Behebungsfrist war der 28. Juli 2022. Organisationen, die noch Legacy-Internet-Explorer einsetzen, sollten umgehend auf unterstützte Browser migrieren.
Behebung
-
Microsoft-Sicherheitsupdate MS14-021 umgehend anwenden. Installieren Sie das kumulative Sicherheitsupdate für Internet Explorer gemäß dem Microsoft Security Bulletin MS14-021 oder nachfolgende kumulative Updates. Dieser Patch korrigiert die Use-After-Free-Bedingung in der Verarbeitung von CMarkup-Objekten durch die MSHTML-Rendering-Engine.
-
Vollständig von Internet Explorer migrieren. Internet Explorer hat sein Lebensende erreicht und erhält keine Sicherheitsupdates mehr. Migrieren Sie alle Benutzer auf einen modernen, unterstützten Browser wie Microsoft Edge, Chrome oder Firefox, um die Exposition gegenüber dieser und Hunderten anderer ungepatchter IE-Schwachstellen zu eliminieren.
-
Enhanced Protected Mode (EPM) in Internet Explorer aktivieren. Falls IE vorübergehend verwendet werden muss, aktivieren Sie den Enhanced Protected Mode unter Internetoptionen > Erweitert. EPM führt IE-Tabs in einer stärker eingeschränkten AppContainer-Sandbox aus, die die Auswirkungen einer erfolgreichen Ausnutzung begrenzt.
-
Enhanced Mitigation Experience Toolkit (EMET) einsetzen. Für Legacy-Systeme, die nicht sofort aktualisiert werden können, bietet EMET zusätzliche Exploit-Mitigationen, einschließlich Heap-Spray-Schutz, DEP-Durchsetzung und ROP-Mitigationen, die die Ausnutzung von Speicherkorruptionsschwachstellen erheblich erschweren.
-
Netzwerkbasierte Web-Filterung implementieren. Setzen Sie Web-Proxys oder Secure Web Gateways ein, die bösartige Webinhalte inspizieren und filtern können, bevor sie den Browser erreichen. URL-Reputationsfilterung kann den Zugang zu bekannten Exploit-Delivery-Domains blockieren und die Gesamtangriffsfläche reduzieren.
-
Browser-Privilegien der Benutzer einschränken. Stellen Sie sicher, dass Benutzer nicht mit Administratorrechten im Web browsen. Die Ausführung von IE als Standardbenutzer begrenzt die Auswirkungen einer Ausnutzung auf den Benutzerkontext, anstatt dem Angreifer sofortigen System-Level-Zugriff zu gewähren.
Technische Details
CVE-2014-1776 ist eine Use-After-Free-Schwachstelle in der MSHTML-Rendering-Engine (mshtml.dll) von Microsoft Internet Explorer Versionen 6 bis 11. Die Schwachstelle besteht in der Verarbeitung von CMarkup-Objekten während des Renderns speziell gestalteter HTML-Inhalte. Wenn der Browser angreifergesteuerte Inhalte rendert, wird ein CMarkup-Objekt vorzeitig freigegeben, während Referenzen darauf an anderer Stelle in der Rendering-Pipeline noch existieren.
Die Ausnutzungstechnik nutzt Heap Spraying, um den freigegebenen Speicherbereich mit angreifergesteuerten Daten zu füllen. Mittels JavaScript oder ActionScript (über Flash) allokiert der Angreifer viele Objekte gleicher Größe wie das freigegebene CMarkup-Objekt und belegt schließlich den freigegebenen Speicher mit Daten, die einen gestalteten Virtual-Function-Table-Zeiger (vtable) enthalten. Wenn IE anschließend den hängenden Zeiger dereferenziert und eine virtuelle Methode über die korrumpierte vtable aufruft, wird die Ausführung zu angreifergesteuertem Code umgeleitet.
Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) gibt an, dass die Ausnutzung nur erfordert, dass das Opfer eine bösartige Webseite besucht — keine Authentifizierung oder zusätzliche Benutzerinteraktion ist über das Navigieren zum Inhalt des Angreifers hinaus erforderlich. Die Angriffskomplexität ist niedrig, da zuverlässige Ausnutzungstechniken für IE-UAF-Schwachstellen bis 2014 gut etabliert waren.
Die ursprüngliche Zero-Day-Ausnutzung wurde unter Verwendung einer Kombination der IE-UAF-Schwachstelle mit einer Adobe-Flash-Komponente beobachtet, um zuverlässiges Heap Spraying und Codeausführung zu erreichen. Microsofts Analyse bestätigte, dass die Schwachstelle alle zu diesem Zeitpunkt unterstützten IE-Versionen betraf, was zur seltenen Herausgabe eines außerplanmäßigen Notfall-Sicherheitsupdates führte, das auch Windows XP einschloss, obwohl es offiziell sein Lebensende erreicht hatte.
Häufig gestellte Fragen
Was ist CVE-2014-1776?
CVE-2014-1776 ist eine kritische Use-After-Free-Speicherkorruptionsschwachstelle in Microsoft Internet Explorer Versionen 6 bis 11. Sie ermöglicht Remote-Angreifern, beliebigen Code auszuführen, indem Opfer auf bösartige Webseiten gelockt werden, die eine Use-After-Free-Bedingung in der MSHTML-Rendering-Engine auslösen. Die Schwachstelle wurde als Zero-Day in gezielten Angriffen ausgenutzt und veranlasste Microsoft zu einem außerplanmäßigen Notfall-Patch.
Welche Internet-Explorer-Versionen sind von CVE-2014-1776 betroffen?
Alle Internet-Explorer-Versionen von 6 bis 11 sind von CVE-2014-1776 betroffen. Dies umfasst jede IE-Version, die zum Zeitpunkt der Offenlegung in Verwendung war. Die aktive Zero-Day-Ausnutzung zielte primär auf IE 9 bis 11, aber die zugrunde liegende Schwachstelle existierte in allen Versionen. Microsoft veröffentlichte Patches für alle unterstützten IE-Versionen, einschließlich eines außergewöhnlichen Patches für IE auf dem bereits am Lebensende befindlichen Windows XP.
Wie behebe ich CVE-2014-1776?
Wenden Sie Microsoft-Sicherheitsupdate MS14-021 oder ein nachfolgendes kumulatives IE-Update an. Wichtiger noch: Migrieren Sie vollständig von Internet Explorer weg, da er sein Lebensende erreicht hat und keine Sicherheitsupdates mehr erhält. Falls IE vorübergehend verwendet werden muss, aktivieren Sie den Enhanced Protected Mode und setzen Sie EMET ein, um das Ausnutzungsrisiko zu reduzieren. Organisationen sollten die Migration aller Benutzer auf moderne unterstützte Browser priorisieren.
Wie schwerwiegend ist CVE-2014-1776?
CVE-2014-1776 ist mit einem CVSS-3.1-Score von 9.8 als KRITISCH eingestuft. Der EPSS-Score von 0,81844 (99,18. Perzentile) spiegelt eine extreme Ausnutzungswahrscheinlichkeit wider. Die Schwachstelle wurde als Zero-Day von APT-Gruppen in gezielten Angriffen ausgenutzt, war schwerwiegend genug, um einen Microsoft-Notfall-Patch auszulösen, und CISA hat sie in den Known Exploited Vulnerabilities Katalog aufgenommen. Jedes System, das Internet Explorer ohne diesen Patch betreibt, ist einem schwerwiegenden Risiko ausgesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.