CVE-2015-1641
Microsoft Office Memory Corruption Vulnerability
Beschreibung
CVE-2015-1641 ist eine hochgradige Speicherkorruptionsschwachstelle in Microsoft Office, verursacht durch fehlerhafte Verarbeitung von Rich-Text-Format-Dateien (RTF) im Speicher. Der Fehler ermöglicht es einem entfernten Angreifer, beliebigen Code im Kontext des aktuellen Benutzers auszuführen, indem er diesen dazu bringt, ein speziell präpariertes RTF-Dokument zu öffnen. Die CISA hat die aktive Ausnutzung durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) bestätigt. Mit einem EPSS-Score von 93,62 % (99,8. Perzentil) gehört CVE-2015-1641 zu den am häufigsten ausgenutzten Schwachstellen und betrifft Microsoft Word, Office, SharePoint Server und Office Web Apps über mehrere Versionen hinweg.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office | 2010 |
| microsoft | office compatibility pack | - |
| microsoft | office web apps | 2010; 2013 |
| microsoft | outlook | 2011 |
| microsoft | sharepoint server | 2010; 2013 |
| microsoft | word | 2007; 2010; 2011; 2013 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/73995(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1032104(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-033(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-1641(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write ist eine Schwachstelle, bei der Software Daten über die vorgesehenen Puffergrenzen hinaus schreibt. Bei CVE-2015-1641 versagt Microsoft Office bei der ordnungsgemäßen Verarbeitung von RTF-Dateien im Speicher, was zu einer Out-of-bounds-Write-Bedingung führt, die es Angreifern ermöglicht, den Speicher zu korrumpieren und beliebigen Code auszuführen, wenn ein Benutzer ein manipuliertes RTF-Dokument öffnet.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2015-1641 weist einen CVSS-3.1-Score von 7,8 (HOCH) auf, was ein erhebliches Sicherheitsrisiko für Organisationen darstellt, die betroffene Microsoft-Office-Produkte einsetzen. Die Schwachstelle erfordert lokale Ausnutzung mit geringer Angriffskomplexität, typischerweise ausgelöst durch das Öffnen eines manipulierten RTF-Dokuments. Vom Angreifer werden keine Berechtigungen benötigt, jedoch ist eine Benutzerinteraktion zwingend erforderlich. Eine erfolgreiche Ausnutzung hat volle Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit und ermöglicht dem Angreifer die Ausführung von beliebigem Code mit den gleichen Berechtigungen wie der aktuelle Benutzer. Der EPSS-Score von 93,62 % im 99,8. Perzentil bestätigt eine außergewöhnlich hohe Ausnutzungswahrscheinlichkeit, und die breite Palette betroffener Produkte einschließlich Word, Office, SharePoint Server und Office Web Apps vergrößert die organisatorische Angriffsfläche erheblich.
Exploit-Reifegrad
CVE-2015-1641 wird durch die Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen als aktiv ausgenutzt bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 93,62 % (99,8. Perzentil) deutet auf nahezu sichere aktive Ausnutzung hin und platziert diese Schwachstelle unter den am häufigsten von Bedrohungsakteuren angegriffenen. Die Ausnutzung basiert auf manipulierten RTF-Dokumenten, einem Vektor, der sich in Spear-Phishing-Kampagnen gegen Unternehmensumgebungen als hocheffektiv erwiesen hat. Diese Schwachstelle wird seit ihrer Veröffentlichung im April 2015 weit verbreitet in freier Wildbahn eingesetzt und bleibt ein bevorzugtes Werkzeug in den Arsenalen von APT-Gruppen und cyberkriminellen Operationen.
Behebung
- Microsoft-Sicherheitsbulletin MS15-033 sofort anwenden gemäß der CISA-KEV-Kataloganweisung. Installieren Sie Patches von den Microsoft Security Updates für alle betroffenen Produkte.
- Überprüfen Sie, dass alle Instanzen betroffener Produkte aktualisiert wurden, einschließlich Microsoft Word 2007 SP3, Office 2010 SP2, Word 2010 SP2, Word 2013 SP1, Word 2013 RT SP1, Word für Mac 2011, Office Compatibility Pack SP3, Word Automation Services auf SharePoint Server 2010 SP2 und 2013 SP1, sowie Office Web Apps Server 2010 SP2 und 2013 SP1.
- Konfigurieren Sie Microsoft Office so, dass RTF-Inhalte blockiert werden, indem Sie die Dateiblockierungsrichtlinie über Gruppenrichtlinien oder die Trust-Center-Einstellungen setzen, um das Öffnen von RTF-Dateien bis zum Abschluss des Patchings zu verhindern.
- Implementieren Sie E-Mail-Gateway-Filterung, um RTF-Anhänge zu erkennen und unter Quarantäne zu stellen, insbesondere solche aus externen oder nicht vertrauenswürdigen Quellen, da dies der primäre Übermittlungsmechanismus für die Ausnutzung ist.
- Überwachen Sie auf Kompromittierungsindikatoren, einschließlich unerwarteter Kindprozesse von Word- oder Office-Anwendungen, verdächtiger RTF-Dateiverarbeitungsereignisse und anomaler Netzwerkverbindungen von Office-Prozessen.
Technische Details
CVE-2015-1641 ist eine Speicherkorruptionsschwachstelle, die ausgelöst wird, wenn Microsoft Word eine speziell präparierte RTF-Datei fehlerhaft verarbeitet. Der zugrundeliegende Fehler ist ein Out-of-bounds-Write, der beim Parsen von RTF-Inhalten auftritt, wobei fehlerhafte Datenstrukturen die Anwendung dazu bringen, Daten über die zugewiesenen Speichergrenzen hinaus zu schreiben, wodurch ein Angreifer kritische Speicherstrukturen überschreiben und den Ausführungsfluss umleiten kann. Der CVSS-Vektorstring CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt lokale Ausnutzung durch Dokumentöffnung mit geringer Komplexität, ohne Angreiferberechtigungen, aber mit obligatorischer Benutzerinteraktion. Die Schwachstelle betrifft neben Desktop-Office-Anwendungen auch Word Automation Services auf SharePoint Server und Office Web Apps Server, was bedeutet, dass die Ausnutzung potenziell auch in automatisierten Dokumentenverarbeitungs-Pipelines erfolgen kann.
Häufig gestellte Fragen
Wird CVE-2015-1641 aktiv ausgenutzt?
Ja. CVE-2015-1641 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgeführt, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 93,62 % (99,8. Perzentil) bestätigt zusätzlich eine nahezu sichere Ausnutzungsaktivität, was diese Schwachstelle zu einem vorrangigen Patchziel macht.
Welche Produkte sind von CVE-2015-1641 betroffen?
CVE-2015-1641 betrifft Microsoft Word 2007 SP3, Office 2010 SP2, Word 2010 SP2, Word 2013 SP1, Word 2013 RT SP1, Word für Mac 2011, Office Compatibility Pack SP3, Word Automation Services auf SharePoint Server 2010 SP2 und 2013 SP1, sowie Office Web Apps Server 2010 SP2 und 2013 SP1.
Wie behebe ich CVE-2015-1641?
Wenden Sie das Microsoft-Sicherheitsbulletin MS15-033 für alle betroffenen Produkte an. Konfigurieren Sie als Zwischenmaßnahme Office so, dass RTF-Inhalte über Dateiblockierungsrichtlinien blockiert werden, und implementieren Sie E-Mail-Filterung, um verdächtige RTF-Anhänge aus externen Quellen unter Quarantäne zu stellen.
Wie schwerwiegend ist CVE-2015-1641?
CVE-2015-1641 hat einen CVSS-3.1-Score von 7,8 (HOCH). Mit einem EPSS-Score im 99,8. Perzentil und bestätigter aktiver Ausnutzung in gezielten Angriffskampagnen ist dies eine äußerst schwerwiegende Schwachstelle, die sofortige Behebung über alle betroffenen Office-Installationen hinweg erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.