CVE-2014-6352
Microsoft Windows Code Injection Vulnerability
Beschreibung
CVE-2014-6352 ist eine Schwachstelle mit dem Schweregrad HIGH für Remote Code Execution in Microsoft Windows, die es Angreifern ermöglicht, beliebigen Code über ein speziell manipuliertes OLE-Objekt (Object Linking and Embedding) in einer Datei auszuführen. Die Schwachstelle betrifft Windows Vista, Windows 7, Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2008 und Windows Server 2012 einschließlich deren R2-Varianten. Mit einem CVSS-3.1-Score von 7,8 und einem EPSS-Score von 0,90729 (99,6. Perzentile) gehört diese Schwachstelle zu den am aktivsten ausgenutzten im CVE-Katalog. Sie ist im CISA Known Exploited Vulnerabilities (KEV) Katalog mit einer Behebungsfrist bis zum 25. August 2022 gelistet, wobei keine spezifische Ransomware-Assoziation dokumentiert ist. Die Schwachstelle wurde als Zero-Day ausgenutzt, bevor Patches verfügbar waren, wobei Angriffe mit manipulierten PowerPoint-Dateien beobachtet wurden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows 8 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows vista | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://blogs.technet.com/b/srd/archive/2014/11/11/assessing-risk-for-the-november-2014-security-updates.aspx(Broken Link, Patch, Vendor Advisory)
- http://secunia.com/advisories/61803(Broken Link)
- http://twitter.com/ohjeongwook/statuses/524795124270653440(Third Party Advisory)
- http://www.securityfocus.com/bid/70690(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1031097(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2014/ms14-064(Patch, Vendor Advisory)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/97714(Third Party Advisory, VDB Entry)
- https://technet.microsoft.com/library/security/3010060(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-6352(US Government Resource)
Schwachstellentyp
Unsachgemäße Verarbeitung von OLE-Objekten
Die unsachgemäße Verarbeitung von OLE-Objekten (Object Linking and Embedding) ist eine Schwachstellenklasse, die entsteht, wenn das Windows-Betriebssystem oder Anwendungen eingebettete Objekte in Dokumenten und Dateien nicht ordnungsgemäß validieren und isolieren. OLE ist eine grundlegende Windows-Technologie, die das Einbetten und Verknüpfen von Dokumenten und anderen Objekten ermöglicht und reichhaltige Dokumentfunktionen wie eingebettete Tabellenkalkulationen in Word-Dokumenten bereitstellt. Wenn das System OLE-Objekte ohne angemessene Sicherheitsvalidierung verarbeitet, können speziell gestaltete Objekte Code-Ausführung, Dateidownloads oder andere gefährliche Operationen auslösen.
Im Fall von CVE-2014-6352 validiert das Windows-OLE-Subsystem OLE-Objekte vor der Verarbeitung nicht ordnungsgemäß, wodurch ein Angreifer ein bösartiges OLE-Objekt in eine Datei (typischerweise eine PowerPoint-Präsentation) einbetten kann, das bei Öffnung der Datei beliebige Code-Ausführung auslöst. Die Schwachstelle ist besonders gefährlich, da sie den User Account Control (UAC) Sicherheitsmechanismus umgeht, der Benutzer normalerweise vor der Erlaubnis erhöhter Operationen warnt. Die Ausnutzung wurde in der Praxis mit manipulierten PPSX-Dateien beobachtet, die ausführbare Payloads über den OLE-Packager-Mechanismus einbetteten. Weitere Informationen finden Sie bei MITRE CWE-Ressourcen.
Auswirkungsanalyse
CVE-2014-6352 hat einen CVSS-3.1-Score von 7,8 (HIGH) mit unverändertem Scope und spiegelt schwerwiegende Auswirkungen wider, wenn ein Benutzer eine Datei mit einem bösartigen OLE-Objekt öffnet.
Vertraulichkeit (High): Die erfolgreiche Ausnutzung führt beliebigen Code mit den Privilegien des aktuellen Benutzers aus und gewährt dem Angreifer Zugriff auf alle für das Benutzerkonto zugänglichen Daten. Dies umfasst Dokumente, E-Mails, zwischengespeicherte Anmeldedaten, Browserdaten und Netzwerkfreigaben. In Unternehmensumgebungen bietet eine kompromittierte Benutzer-Arbeitsstation typischerweise Zugriff auf erhebliche Mengen sensibler Geschäftsdaten und interner Ressourcen, wodurch die Vertraulichkeitsauswirkung weitreichend ist.
Integrität (High): Code-Ausführung im Sicherheitskontext des Benutzers ermöglicht dem Angreifer, Dateien zu modifizieren, Malware zu installieren, Persistenzmechanismen zu erstellen und Systemkonfigurationen zu ändern. Beobachtete Angriffe setzten Remote-Access-Trojaner und Informationsdiebe ein, die Registrierungseinträge modifizierten, Dienste installierten und persistenten Backdoor-Zugang herstellten. Verfügt der Benutzer über administrative Rechte, erstreckt sich die Integritätsauswirkung auf systemweite Modifikationen einschließlich Treiberinstallation und Änderungen an Sicherheitsrichtlinien.
Verfügbarkeit (High): Ein Angreifer mit Code-Ausführungsfähigkeiten kann das System des Benutzers stören, indem er destruktive Payloads einsetzt, Dateien verschlüsselt, kritische Prozesse beendet oder Systemressourcen verbraucht. Die Möglichkeit, persistente Malware zu installieren, ermöglicht auch eine langfristige Beeinträchtigung der Systemleistung und -zuverlässigkeit.
Scope (Unchanged): Der Scope bleibt unverändert, da die Code-Ausführung innerhalb des bestehenden Sicherheitskontexts des Benutzers erfolgt. Die praktischen Auswirkungen erstrecken sich jedoch häufig durch Lateral Movement über den initialen kompromittierten Host hinaus. Mit einem EPSS-Score von 0,90729 in der 99,6. Perzentile gehört die Ausnutzungswahrscheinlichkeit dieser Schwachstelle zu den höchsten aller erfassten CVEs.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2014-6352 wurde als Zero-Day-Schwachstelle aktiv ausgenutzt, bevor Microsoft einen Patch veröffentlichte. Die Schwachstelle wurde ursprünglich im Oktober 2014 durch gezielte Angriffe mit manipulierten PowerPoint-Dateien entdeckt. Der Sicherheitsforscher @ohjeongwook veröffentlichte die Schwachstelle über Twitter, und Microsoft bestätigte die aktive Ausnutzung in einem Sicherheitshinweis, bevor ein vollständiger Patch verfügbar war.
Ransomware-Bezug: Der CISA-KEV-Katalog weist keine spezifische Ransomware-Assoziation für CVE-2014-6352 aus. Als Remote-Code-Execution-Schwachstelle, die über dokumentbasiertes Social Engineering ausnutzbar ist, wurde sie jedoch in Angriffsketten eingesetzt, die verschiedene Malware-Payloads einschließlich Informationsdiebe und Remote-Access-Trojaner liefern.
Öffentliche Exploits: Detaillierte technische Informationen über die Schwachstelle sind seit Oktober 2014 öffentlich verfügbar, und die Exploit-Techniken sind in der Sicherheitsforschung gut dokumentiert. Die Schwachstelle wurde zunächst über manipulierte PowerPoint-Dateien ausgenutzt, die eingebettete OLE-Packager-Objekte enthielten, die bösartige Payloads auf dem Zielsystem extrahierten und ausführten.
EPSS-Kontext: Der EPSS-Score von 0,90729 platziert diese Schwachstelle in der 99,6. Perzentile, was auf eine Ausnutzungswahrscheinlichkeit hinweist, die höher ist als bei 99,6% aller bewerteten Schwachstellen. Dieser außergewöhnliche Score spiegelt Jahre anhaltender Ausnutzungsaktivität und die Effektivität dokumentbasierter Social-Engineering-Angriffe wider.
KEV-Behebungsfrist: CISA legte eine Behebungsfrist auf den 25. August 2022 fest. Die Schwachstelle ist seit November 2014 (MS14-064) patchbar, daher stellen verbleibende ungepatchte Systeme eine kritische Sicherheitslücke dar, die umgehend geschlossen werden muss.
Behebung
-
Microsoft-Sicherheitsbulletin MS14-064 umgehend anwenden. Dieses Sicherheitsupdate vom November 2014 behebt CVE-2014-6352 zusammen mit CVE-2014-6332. Laden Sie das entsprechende Update für Ihre Windows-Version aus dem Microsoft Update-Katalog herunter und installieren Sie es. Überprüfen Sie die Bereitstellung über alle Endpunkte mit Ihrem Patch-Management-System.
-
End-of-Life-Windows-Systeme auf unterstützte Versionen migrieren. Windows Vista, Windows 7, Windows 8 und Windows Server 2008 haben das Ende des Supports erreicht. Migrieren Sie diese Systeme auf Windows 10, Windows 11 oder Windows Server 2019/2022, um laufende Sicherheitsupdates und moderne Exploit-Mitigationen einschließlich Control Flow Guard und Windows Defender Application Control zu erhalten.
-
User Account Control (UAC) auf maximale Stufe aktivieren und durchsetzen. Obwohl CVE-2014-6352 einige UAC-Schutzmaßnahmen umgehen kann, bietet die Konfiguration von UAC auf die höchste Stufe ("Immer benachrichtigen") eine zusätzliche Verteidigungsschicht. Erzwingen Sie UAC-Einstellungen über Gruppenrichtlinien, um zu verhindern, dass Benutzer den Schutzgrad auf ihren Arbeitsstationen herabsetzen.
-
Microsoft Enhanced Mitigation Experience Toolkit (EMET) oder gleichwertige Lösung einsetzen. Für Legacy-Windows-Systeme, die nicht sofort aufgerüstet werden können, setzen Sie EMET oder Windows Defender Exploit Guard mit Attack Surface Reduction-Regeln ein, die konfiguriert sind, um die OLE-Objekterstellung aus Office-Anwendungen zu blockieren und das Erzeugen von Kindprozessen durch Dokumentreader zu verhindern.
-
E-Mail- und Web-Content-Filterung für Office-Dokumente implementieren. Konfigurieren Sie E-Mail-Gateways und Web-Proxies, um eingehende Office-Dokumente auf eingebettete OLE-Objekte und ausführbare Payloads zu scannen. Setzen Sie Attachment-Sandboxing ein, um verdächtige Dokumente vor der Zustellung in isolierten Umgebungen auszuführen.
-
Endpunkt-Sicherheitsaudits auf Kompromittierungsindikatoren durchführen. Da CVE-2014-6352 2014 als Zero-Day ausgenutzt wurde, überprüfen Sie Systeme auf historische Kompromittierungsindikatoren, einschließlich unerwarteter ausführbarer Dateien, die von PowerPoint-Prozessen abgelegt wurden, unautorisierter Registrierungsmodifikationen für Persistenz und verdächtiger ausgehender Netzwerkverbindungen, die von Office-Anwendungs-Kindprozessen aufgebaut wurden.
Technische Details
CVE-2014-6352 ist eine Remote-Code-Execution-Schwachstelle im Windows-OLE-Subsystem, die beliebige Code-Ausführung durch manipulierte OLE-Objekte in Dateien ermöglicht. Die Schwachstelle betrifft speziell die Art und Weise, wie Windows OLE-Packager-Objekte verarbeitet, einen Mechanismus zum Einbetten beliebiger Dateien und ausführbarer Inhalte in OLE-Container.
Der Angriffsvektor beinhaltet die Erstellung einer Datei (typischerweise eine PowerPoint-Präsentation im PPSX-Format), die ein speziell gestaltetes OLE-Packager-Objekt enthält. Dieses Objekt referenziert einen eingebetteten ausführbaren Payload, der extrahiert und ausgeführt wird, wenn das Opfer das Dokument öffnet. Der OLE-Packager-Mechanismus ist dafür konzipiert, das Einbetten beliebiger Dateitypen in Dokumenten zu ermöglichen, aber das Windows-OLE-Subsystem versäumt es, die Typen von Objekten, die instanziiert werden können, und die Aktionen, die sie bei Aktivierung ausführen können, ordnungsgemäß einzuschränken.
Der CVSS-3.1-Vektor (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt einen lokalen Angriffsvektor, der Benutzerinteraktion erfordert (Öffnen der bösartigen Datei). Die Angriffskomplexität ist niedrig, da keine besonderen Bedingungen über das Öffnen der Datei hinaus erforderlich sind. Keine Angreifer-Privilegien werden benötigt, aber das Opfer muss mit der Datei interagieren.
Die Grundursache ist eine unzureichende Validierung und Sandboxing von OLE-Packager-Objekten während des Objekt-Aktivierungsprozesses. Windows sollte bei der Verarbeitung eingebetteter OLE-Objekte überprüfen, dass der eingebettete Inhalt sicher auszuführen ist, und angemessene Sicherheitsbeschränkungen durchsetzen. CVE-2014-6352 zeigt, dass diese Validierung unvollständig war. Microsoft behob dies in MS14-064 durch Hinzufügen ordnungsgemäßer Validierungsprüfungen und Stärkung der Sicherheitsbeschränkungen bei der OLE-Packager-Objekt-Aktivierung.
Häufig gestellte Fragen
Was ist CVE-2014-6352?
CVE-2014-6352 ist eine Remote-Code-Execution-Schwachstelle in Microsoft Windows, die es Angreifern ermöglicht, beliebigen Code durch Einbettung speziell manipulierter OLE-Objekte in Dateien wie PowerPoint-Präsentationen auszuführen. Die Schwachstelle betrifft Windows Vista bis Windows 8.1 und Windows Server 2008 bis Server 2012 R2. Sie wurde als Zero-Day im Oktober 2014 ausgenutzt, bevor Microsoft den Patch MS14-064 im November 2014 veröffentlichte, und hat einen CVSS-3.1-Score von 7,8 (HIGH).
Wie wird CVE-2014-6352 in Angriffen ausgenutzt?
Angreifer erstellen speziell manipulierte Dateien, typischerweise PowerPoint-Präsentationen (PPSX-Format), die bösartige OLE-Packager-Objekte enthalten. Wenn ein Opfer die Datei öffnet, verarbeitet Windows das eingebettete OLE-Objekt und führt den Payload des Angreifers ohne Makro-Aktivierung aus. Der Exploit wird häufig über Phishing-E-Mails mit Dateianhängen verbreitet. Der Angriff wurde erstmals in gezielten Kampagnen mit PowerPoint-Dateien beobachtet, die Remote-Access-Trojaner auf Opfersystemen installierten.
Welche Windows-Versionen sind von CVE-2014-6352 betroffen?
CVE-2014-6352 betrifft Windows Vista, Windows 7, Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2008 (einschließlich R2) und Windows Server 2012 (einschließlich R2). Alle diese Windows-Versionen haben mittlerweile das Ende des Supports erreicht. Systeme, die diese Versionen ohne das MS14-064-Update ausführen, bleiben dauerhaft verwundbar.
Wie behebe ich CVE-2014-6352?
Wenden Sie das Microsoft-Sicherheitsbulletin MS14-064 vom November 2014 an, das die OLE-Objekt-Verarbeitungsschwachstelle behebt. Für Systeme mit End-of-Life-Windows-Versionen ist die empfohlene langfristige Behebung ein Upgrade auf eine aktuell unterstützte Version wie Windows 10, Windows 11 oder Windows Server 2022. Zusätzlich sollten Sie E-Mail-Anhangsfilterung einsetzen, um bösartige Office-Dokumente zu blockieren, Attack Surface Reduction Regeln aktivieren und Endpoint-Detection-and-Response-Tools auf allen Systemen einsetzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.