CVE-2016-3351
Microsoft Internet Explorer and Edge Information Disclosure Vulnerability
Beschreibung
CVE-2016-3351 ist eine Schwachstelle zur Offenlegung von Informationen in Microsoft Internet Explorer und Edge, die es Angreifern ermöglicht, die Existenz bestimmter Dateien auf dem Computer eines Benutzers festzustellen. Die Schwachstelle entsteht durch die Art und Weise, wie bestimmte Funktionen in diesen Browsern Objekte im Speicher verarbeiten, was die Dateierkennung über präparierte Webinhalte ermöglicht. Angreifer nutzen diese Fähigkeit zur Fingerabdruckerkennung von Zielsystemen und zur Identifizierung von Sicherheitstools. CISA hat CVE-2016-3351 mit bestätigter Ransomware-Verbindung in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 97,3 % weist auf eine sehr hohe Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | internet explorer | 9; 10; 11 |
| microsoft | edge | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Referenzen
- http://www.securityfocus.com/bid/92788(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1036788(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1036789(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2016/ms16-104(Patch, Vendor Advisory)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2016/ms16-105(Patch, Vendor Advisory)
- https://www.brokenbrowser.com/detecting-apps-mimetype-malware/(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-3351(US Government Resource)
Schwachstellentyp
CWE-200: Offenlegung sensibler Informationen an nicht autorisierte Akteure
CWE-200 beschreibt Situationen, in denen ein Produkt vertrauliche Informationen an nicht autorisierte Parteien weitergibt. Bei CVE-2016-3351 verarbeiten Internet Explorer und Edge bei bestimmten Operationen Objekte im Speicher fehlerhaft, wodurch eine Informationslücke entsteht, die entfernten Angreifern ermöglicht, über eine präparierte Webseite festzustellen, ob bestimmte Dateien auf dem lokalen Dateisystem des Opfers existieren.
Weitere Informationen: CWE-200 — Exposure of Sensitive Information to an Unauthorized Actor
Auswirkungsanalyse
CVE-2016-3351 beeinträchtigt die Vertraulichkeit, indem entfernte Angreifer über Internet Explorer oder Edge Dateien auf dem Zielsystem erkennen können. Die Schwachstelle ist über das Netzwerk durch präparierte Webinhalte ausnutzbar, erfordert Benutzerinteraktion (Besuch einer bösartigen Seite), aber keine Authentifizierung. Obwohl die direkte Auswirkung auf die Informationsoffenlegung beschränkt ist, ist der Aufklärungswert in Angriffsketten erheblich. Das EPSS-Perzentil von 97,3 % spiegelt eine sehr hohe Ausnutzungsaktivität wider. CISA hat eine Ransomware-Verbindung mit dieser Schwachstelle bestätigt, was auf ihre Verwendung in mehrstufigen Angriffen hinweist, bei denen die Dateierkennung als vorbereitender Schritt vor der Ransomware-Verteilung diente. Die Schwachstelle wurde von den AdGholas- und GooNky-Bedrohungsgruppen in groß angelegten Malvertising-Kampagnen eingesetzt.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2016-3351 bestätigt und die Schwachstelle mit bestätigter Ransomware-Verbindung und einer Behebungsfrist bis zum 14. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 97,3 % deutet auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Diese Schwachstelle wurde umfangreich von den AdGholas- und GooNky-Malvertising-Gruppen eingesetzt, um Sicherheitsanalysetools und Umgebungen virtueller Maschinen auf Zielsystemen zu erkennen, bevor Exploit-Payloads ausgeliefert wurden. Die Ransomware-Verbindung bestätigt ihre Rolle in Angriffsketten, die in Ransomware-Verteilung mündeten.
Behebung
- Wenden Sie die Microsoft-Sicherheitsupdates gemäß den Herstelleranweisungen an. Dies ist die erforderliche Behebungsmaßnahme gemäß dem CISA-KEV-Katalogeintrag für CVE-2016-3351.
- Migrieren Sie von Internet Explorer zu einem modernen Browser. Obwohl Edge ebenfalls betroffen war, sind aktuelle Versionen von Microsoft Edge (Chromium-basiert) nicht von diesem Legacy-Problem betroffen.
- Setzen Sie Werbeblocker und Web-Content-Filtering-Lösungen ein, um die Exposition gegenüber Malvertising-Kampagnen zu reduzieren, die diese Schwachstelle häufig nutzten.
- Implementieren Sie Netzwerkschutzmaßnahmen einschließlich Intrusion-Prevention-Systeme (IPS) mit Signaturen für bekannte Exploit-Kit-Muster.
- Überwachen Sie Kompromittierungsindikatoren im Zusammenhang mit den AdGholas- und GooNky-Malvertising-Kampagnen und prüfen Sie Browser-Sicherheitsprotokolle auf Anzeichen von Dateisystem-Erkundungsaktivitäten.
Technische Details
CVE-2016-3351 nutzt einen Fehler in der Art und Weise aus, wie Internet Explorer und Edge bei bestimmten internen Operationen Objekte im Speicher verarbeiten. Die Schwachstelle fällt unter CWE-200 (Offenlegung sensibler Informationen), wobei die Browser JavaScript-Operationen nicht ordnungsgemäß vom lokalen Dateisystem isolieren. Angreifer können das MIME-Typ-Verarbeitungsverhalten und bestimmte Browser-APIs nutzen, um durch Beobachtung der unterschiedlichen Browserreaktionen beim Referenzieren existierender und nicht existierender Dateipfade festzustellen, ob bestimmte Dateien auf dem Datenträger des Opfers vorhanden sind. Der Angriffsvektor ist netzwerkbasiert und erfordert den Besuch einer bösartigen Webseite, wobei die Angriffskomplexität gering ist. Diese Schwachstelle war besonders bemerkenswert, da sie als Zero-Day von hochentwickelten Malvertising-Gruppen über ein Jahr vor der Patch-Veröffentlichung ausgenutzt wurde.
Häufig gestellte Fragen
Wird CVE-2016-3351 aktiv ausgenutzt?
Ja, CVE-2016-3351 wurde in Malvertising-Kampagnen aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle mit Ransomware-Verbindung in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 97,3 % belegt eine sehr hohe Ausnutzungswahrscheinlichkeit, angetrieben durch die Verwendung in den AdGholas- und GooNky-Kampagnen.
Welche Produkte sind von CVE-2016-3351 betroffen?
CVE-2016-3351 betrifft Microsoft Internet Explorer und Microsoft Edge (Legacy-EdgeHTML-basierte Versionen). Das aktuelle Chromium-basierte Microsoft Edge ist nicht betroffen. Mehrere Versionen dieser Browser auf verschiedenen Windows-Plattformen sind verwundbar.
Wie behebe ich CVE-2016-3351?
Wenden Sie das Microsoft-Sicherheitsupdate für CVE-2016-3351 an. Migrieren Sie von Internet Explorer und Legacy-Edge zu modernen Chromium-basierten Browsern. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2016-3351?
CVE-2016-3351 ist eine Schwachstelle zur Informationsoffenlegung mit einem EPSS-Perzentil von 97,3 % und bestätigter Ransomware-Verbindung. Obwohl sie keine direkte Code-Ausführung ermöglicht, macht ihre Rolle als Aufklärungswerkzeug in Malvertising-Kampagnen, die zur Ransomware-Verteilung führten, sie zu einer erheblichen Bedrohung in mehrstufigen Angriffsketten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.