CVE-2016-3393
Microsoft Windows Graphics Device Interface (GDI) Remote Code Execution Vulnerability
Beschreibung
CVE-2016-3393 ist eine Remote-Code-Execution-Schwachstelle in der Windows-GDI-Komponente (Graphics Device Interface), die durch unsachgemäße Handhabung von Objekten im Speicher verursacht wird. Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, kann die vollständige Kontrolle über das betroffene Windows-System übernehmen. Die Schwachstelle kann über speziell präparierte Inhalte wie manipulierte Webseiten oder Dokumente ausgelöst werden. Die CISA hat CVE-2016-3393 in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestätigt. Das EPSS-Perzentil von 97,3 % weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1511 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows vista | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/93377(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1036988(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2016/ms16-120(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-3393(US Government Resource)
Schwachstellentyp
Für CVE-2016-3393 ist kein spezifischer CWE-Typ in der NVD-Datenbank zugeordnet. Die Schwachstelle betrifft die unsachgemäße Handhabung von Objekten im Speicher innerhalb der Windows-GDI-Komponente. Beim Verarbeiten speziell gestalteter grafischer Inhalte kommt es zu einer fehlerhaften Speicherverarbeitung, die zu Memory Corruption führt und für die Ausführung von beliebigem Code ausgenutzt werden kann. Diese Schwächenklasse bezieht sich auf Speichersicherheitsprobleme in der Grafikverarbeitung.
Auswirkungsanalyse
CVE-2016-3393 ermöglicht Remote Code Execution über die Windows-GDI-Komponente und gibt einem Angreifer die vollständige Kontrolle über ein betroffenes System. Die Schwachstelle kann aus der Ferne über speziell präparierte Webseiten oder Dokumente ausgenutzt werden. Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung gewährt dem Angreifer Zugriff auf alle Daten des Systems, einschließlich sensibler Dateien, Zugangsdaten und Benutzerinformationen. Integrität (Hoch): Vollständige Systemkontrolle ermöglicht die Installation von Malware, die Modifikation von Systemdateien und die Änderung von Sicherheitseinstellungen. Verfügbarkeit (Hoch): Der Angreifer kann Ransomware einsetzen, den Systembetrieb stören oder das System funktionsunfähig machen. Mit einem EPSS-Perzentil von 97,3 % besteht eine sehr hohe Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2016-3393 bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 15. Juni 2022. Das EPSS-Perzentil von 97,3 % weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Als GDI-Memory-Corruption-Schwachstelle kann CVE-2016-3393 über mehrere Vektoren ausgeliefert werden, darunter manipulierte Webseiten, E-Mail-Anhänge mit speziell gestalteten grafischen Inhalten und Dokumente, die GDI-Rendering auslösen, was sie zu einem vielseitigen Werkzeug für Angreifer macht.
Behebung
- Microsoft-Sicherheitsupdates anwenden, die CVE-2016-3393 in der Windows-GDI-Komponente adressieren, gemäß den Herstelleranweisungen wie im CISA-KEV-Katalog gefordert.
- Sicherstellen, dass alle Windows-Systeme unterstützte, aktuelle Versionen verwenden. Systeme mit Windows-Versionen, die keine Sicherheitsupdates mehr erhalten, sollten auf eine unterstützte Version aktualisiert werden.
- Exploit-Schutzmaßnahmen aktivieren wie Windows Defender Exploit Guard mit DEP, ASLR und Mandatory ASLR, um die Ausnutzung von Memory-Corruption-Schwachstellen erheblich zu erschweren.
- Web-Content-Filterung und E-Mail-Sicherheit implementieren, um schädliche Inhalte zu blockieren, die die GDI-Schwachstelle auslösen könnten. Browser mit restriktiven Sicherheitsrichtlinien konfigurieren.
- Endpunkte auf verdächtige GDI-bezogene Aktivitäten überwachen, einschließlich ungewöhnlichem Prozessverhalten bei der Dokumentenverarbeitung, unerwarteten Kindprozessen von Office-Anwendungen oder Browsern und Crash-Dumps, die auf Ausnutzungsversuche hindeuten.
Technische Details
CVE-2016-3393 ist eine Memory-Corruption-Schwachstelle in der Windows-GDI-Komponente (Graphics Device Interface). Die GDI ist ein zentrales Windows-Subsystem, das für das Rendering grafischer Objekte (Schriftarten, Formen, Bitmaps) zuständig ist und von praktisch allen Windows-Anwendungen mit grafischer Ausgabe verwendet wird. Die Schwachstelle tritt auf, wenn die GDI-Komponente Objekte im Speicher beim Rendering speziell gestalteter grafischer Inhalte unsachgemäß verarbeitet. Diese fehlerhafte Speicherhandhabung kann kritische Datenstrukturen korrumpieren und dem Angreifer ermöglichen, die Codeausführung auf angreiferkontrollierten Speicher umzuleiten. Der Angriff kann über jeden Vektor erfolgen, der GDI-Rendering auslöst, einschließlich Webseiten, Office-Dokumente oder Bilddateien.
Häufig gestellte Fragen
Wird CVE-2016-3393 aktiv ausgenutzt?
Ja, CVE-2016-3393 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 15. Juni 2022. Das EPSS-Perzentil von 97,3 % bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2016-3393 betroffen?
Von CVE-2016-3393 ist Microsoft Windows über die GDI-Komponente (Graphics Device Interface) betroffen. Mehrere Windows-Versionen sind verwundbar. Organisationen sollten die Microsoft-Sicherheitsbulletins für spezifische Versions- und Konfigurationsdetails konsultieren.
Wie behebe ich CVE-2016-3393?
Installieren Sie die Microsoft-Sicherheitsupdates, die diese Schwachstelle adressieren. Stellen Sie sicher, dass Windows-Systeme unterstützte Versionen mit den aktuellen Patches verwenden. Aktivieren Sie zusätzlich Exploit-Schutzmaßnahmen und implementieren Sie Web-Content-Filterung.
Wie schwerwiegend ist CVE-2016-3393?
CVE-2016-3393 ist eine Remote-Code-Execution-Schwachstelle mit einem EPSS-Perzentil von 97,3 %, was auf eine sehr hohe Ausnutzungswahrscheinlichkeit hinweist. Erfolgreiche Ausnutzung ermöglicht die vollständige Kontrolle über das betroffene Windows-System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.