CVE-2015-2419
Microsoft Internet Explorer Memory Corruption Vulnerability
Beschreibung
CVE-2015-2419 ist eine kritische Speicherkorruptions-Schwachstelle (CWE-119) in der JScript9-Scripting-Engine von Microsoft Internet Explorer, die Remote Code Execution ermöglicht, wenn ein Benutzer eine speziell präparierte Webseite besucht. Der Fehler tritt auf, wenn JScript9 Objekte im Speicher während der JavaScript-Ausführung fehlerhaft verarbeitet, wodurch ein Angreifer Speicher korrumpieren und beliebigen Code mit den Rechten des aktuellen Benutzers ausführen kann. CISA hat die aktive Ausnutzung bestätigt und CVE-2015-2419 in den KEV-Katalog aufgenommen. Mit einem EPSS-Score von 77,4 % (99,9. Perzentile) stellt diese Schwachstelle eine hochprioritäre Bedrohung für alle Systeme dar, die betroffene Versionen von Internet Explorer verwenden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet explorer | 10; 11 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securitytracker.com/id/1032894(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-065(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-2419(US Government Resource)
Schwachstellentyp
CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer
CWE-119 beschreibt eine Schwachstelle, bei der Software Operationen auf einem Speicherpuffer durchführt, ohne den Zugriff auf die vorgesehenen Grenzen ordnungsgemäß zu beschränken, was zu Speicherkorruption, Datenoffenlegung oder Codeausführung führen kann. Bei CVE-2015-2419 verwaltet die JScript9-Engine in Internet Explorer die Speichergrenzen während der JavaScript-Verarbeitung nicht ordnungsgemäß, wodurch ein Angreifer eine Speicherkorruptionsbedingung auslösen kann, die zu beliebiger Codeausführung führt.
Weitere Informationen: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Auswirkungsanalyse
CVE-2015-2419 ist über eine bösartige Webseite aus der Ferne ausnutzbar, erfordert keine Authentifizierung und nur minimale Benutzerinteraktion über den Seitenbesuch hinaus. Erfolgreiche Ausnutzung gewährt dem Angreifer Codeausführung mit den gleichen Rechten wie der angemeldete Benutzer, was auf Systemen mit administrativen Rechten vollständige Systemkontrolle bedeutet. Vertraulichkeit, Integrität und Verfügbarkeit sind vollständig kompromittiert: Der Angreifer kann im Browser gespeicherte Zugangsdaten stehlen, persistente Malware installieren, sensible Dokumente exfiltrieren und auf weitere Netzwerkressourcen zugreifen. Der EPSS-Score im 99,9. Perzentil weist auf extrem hohe reale Exploit-Aktivität hin, und die Schwachstelle wurde breit in Exploit-Kits integriert.
Exploit-Reifegrad
CVE-2015-2419 wird laut CISA aktiv in der freien Wildbahn ausgenutzt und ist im KEV-Katalog gelistet. Diese Schwachstelle wurde im Rahmen des Hacking-Team-Datenlecks im Juli 2015 aufgedeckt, das detaillierten Exploit-Code und Dokumentation umfasste. Der EPSS-Score von 77,4 % (99,9. Perzentile) reflektiert weit verbreitete Exploit-Aktivität. Nach dem Hacking-Team-Leak integrierten mehrere Exploit-Kits CVE-2015-2419 schnell und machten sie zu einem Standardbestandteil von Drive-by-Download-Kampagnen.
Behebung
- Installieren Sie das Microsoft-Sicherheitsupdate MS15-065 (Juli 2015) für Internet Explorer, um CVE-2015-2419 sofort zu beheben.
- Migrieren Sie von Internet Explorer zu einem modernen Browser wie Microsoft Edge (Chromium), Google Chrome oder Mozilla Firefox, da Internet Explorer sein Lebensende erreicht hat.
- Falls Internet Explorer für Legacy-Kompatibilität installiert bleiben muss, beschränken Sie seine Nutzung über Gruppenrichtlinien, deaktivieren Sie JScript9 wo möglich und stellen Sie sicher, dass die Enhanced Security Configuration auf Serversystemen aktiviert ist.
- Setzen Sie Netzwerkschutzmaßnahmen wie Webinhaltsfilterung und IDS/IPS-Signaturen ein, um bekannte Exploit-Kit-Infrastruktur zu blockieren.
- Führen Sie Endpoint-Forensik auf Systemen durch, auf denen Internet-Explorer-Exploitation vermutet wird, mit Fokus auf Indikatoren wie anomale Prozesserstellung durch iexplore.exe.
Technische Details
CVE-2015-2419 ist eine Speicherkorruptions-Schwachstelle (CWE-119) in der JScript9-JavaScript-Engine (jscript9.dll) von Microsoft Internet Explorer 10 und 11. Die Schwachstelle wird ausgelöst, wenn die JScript9-Engine speziell konstruiertes JavaScript verarbeitet, das eine fehlerhafte Handhabung von Objekteigenschaften während der JIT-Kompilierung verursacht und zu einer Use-after-Free- oder Type-Confusion-Bedingung im Heap-Speicher führt. Ein Angreifer kann dies ausnutzen, um Lese-/Schreibzugriff auf beliebige Speicheradressen innerhalb des Internet-Explorer-Prozesses zu erhalten, ASLR durch Informationslecks zu umgehen und eine ROP-Chain zur Umgehung von DEP zu konstruieren. Die Schwachstelle wurde in den Hacking-Team-Daten entdeckt, die einen vollständigen, funktionsfähigen Exploit mit detaillierten Kommentaren enthielten.
Häufig gestellte Fragen
Wird CVE-2015-2419 aktiv ausgenutzt?
Ja. CVE-2015-2419 wird aktiv in der freien Wildbahn ausgenutzt und ist im CISA-KEV-Katalog gelistet. Die Schwachstelle wurde im Hacking-Team-Datenleck im Juli 2015 aufgedeckt, und der EPSS-Score von 77,4 % (99,9. Perzentile) reflektiert weit verbreitete Exploit-Aktivität.
Welche Produkte sind von CVE-2015-2419 betroffen?
CVE-2015-2419 betrifft die JScript9-JavaScript-Engine in Microsoft Internet Explorer 10 und 11 auf verschiedenen Windows-Versionen. Systeme mit modernen Browsern wie Microsoft Edge (Chromium) sind nicht betroffen.
Wie behebe ich CVE-2015-2419?
Installieren Sie das Microsoft-Sicherheitsupdate MS15-065 (Juli 2015) für Internet Explorer. Die effektivste langfristige Lösung ist die Migration zu einem modernen Browser, da Internet Explorer nicht mehr unterstützt wird und keine künftigen Sicherheitsupdates erhält.
Wie schwerwiegend ist CVE-2015-2419?
CVE-2015-2419 ist als CRITICAL eingestuft und ermöglicht vollständige Remote Code Execution über eine bösartige Webseite. Der EPSS-Score im 99,9. Perzentil, der Ursprung im Hacking-Team-Exploit-Arsenal und die CISA-KEV-Listung bestätigen die hohe Schwere und aktive Ausnutzung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.