CVE-2016-7256
Microsoft Windows Open Type Font Remote Code Execution Vulnerability
Beschreibung
CVE-2016-7256 ist eine Remote-Code-Execution-Schwachstelle in der Windows-Schriftartenbibliothek, die durch unsachgemäße Verarbeitung speziell gestalteter eingebetteter Schriftarten verursacht wird. Wenn die Windows-Schriftartenbibliothek eine manipulierte OpenType-Schriftart nicht ordnungsgemäß verarbeitet, kann ein Angreifer die vollständige Kontrolle über das betroffene System übernehmen. Die Schwachstelle kann über Webseiten, Dokumente oder beliebige Inhalte mit eingebetteten Schriftarten ausgelöst werden. Die CISA hat CVE-2016-7256 in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestätigt. Das EPSS-Perzentil von 98,5 % weist auf eine nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1511 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows vista | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/94156(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1037243(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2016/ms16-132(Patch, Vendor Advisory)
- https://twitter.com/da5ch0/status/820161895269277696(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-7256(US Government Resource)
Schwachstellentyp
Für CVE-2016-7256 ist kein spezifischer CWE-Typ in der NVD-Datenbank zugeordnet. Die Schwachstelle betrifft die unsachgemäße Verarbeitung eingebetteter Schriftartdaten in der Windows-Schriftartenbibliothek. Beim Verarbeiten speziell gestalteter Schriftdateien versäumt die Bibliothek die ordnungsgemäße Validierung der Schriftartstrukturen, was zu Memory Corruption führt und die Ausführung von beliebigem Code ermöglicht. Diese Schwächenklasse bezieht sich auf unzureichende Eingabevalidierung bei der Schriftart-Verarbeitung.
Auswirkungsanalyse
CVE-2016-7256 ermöglicht Remote Code Execution über die Windows-Schriftartenbibliothek und gibt einem Angreifer die vollständige Kontrolle über ein betroffenes System. Die Schwachstelle ist aus der Ferne über Webseiten, E-Mails oder Dokumente mit manipulierten eingebetteten Schriftarten ausnutzbar. Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung gewährt dem Angreifer Zugriff auf alle Systemdaten mit den Rechten des aktuellen Benutzers oder des Kernels, je nach Kontext der Schriftartverarbeitung. Integrität (Hoch): Vollständige Codeausführung ermöglicht die Installation persistenter Malware und die Modifikation von Systemdateien. Verfügbarkeit (Hoch): Der Angreifer kann Ransomware einsetzen oder das System funktionsunfähig machen. Mit einem EPSS-Perzentil von 98,5 % besteht eine nahezu sichere Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2016-7256 bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 15. Juni 2022. Das EPSS-Perzentil von 98,5 % ordnet diese Schwachstelle unter die am häufigsten ausgenutzten Sicherheitslücken ein. Schriftart-Parsing-Schwachstellen in Windows sind historisch hochwertige Ziele für gezielte Angriffe und Exploit-Kits, da die Schriftart-Rendering-Engine in bestimmten Konfigurationen mit erhöhten Rechten arbeitet und Schriftartinhalte automatisch beim Anzeigen von Webseiten oder Dokumenten verarbeitet werden.
Behebung
- Microsoft-Sicherheitsupdates anwenden, die CVE-2016-7256 in der Windows-Schriftartenbibliothek adressieren, gemäß den Herstelleranweisungen wie im CISA-KEV-Katalog gefordert.
- Auf eine aktuelle, unterstützte Windows-Version upgraden, die moderne Schriftart-Rendering-Schutzmaßnahmen enthält. Neuere Windows-Versionen haben die Schriftartverarbeitung in eine gesandboxte User-Mode-Umgebung verschoben.
- Nicht vertrauenswürdige Schriftarten blockieren über die Gruppenrichtlinieneinstellung "Untrusted Font Blocking" (verfügbar ab Windows 10), die das Laden von Schriftarten außerhalb des vertrauenswürdigen Schriftartenverzeichnisses verhindert.
- Web-Content-Filterung und E-Mail-Sicherheit implementieren, um Inhalte mit verdächtigen eingebetteten Schriftarten zu erkennen und zu blockieren.
- Auf Schriftart-bezogene Ausnutzungsversuche überwachen, indem Windows-Ereignisprotokolle auf Schriftlade-Fehler, unerwartete Abstürze in Schriftart-Rendering-Prozessen und Kernel-Mode-Treiberfehler geprüft werden.
Technische Details
CVE-2016-7256 ist eine Memory-Corruption-Schwachstelle in der Windows-Schriftartenbibliothek, die beim Verarbeiten speziell gestalteter eingebetteter Schriftarten auftritt. Das Windows-Schriftart-Rendering-Subsystem parst Schriftart-Datenstrukturen zur Textdarstellung, und diese Schwachstelle entsteht durch unzureichende Validierung der Font-Table-Einträge. Wenn eine manipulierte Schriftart mit korrumpierten Datenstrukturen verarbeitet wird, liest oder schreibt der Parser Speicher über die vorgesehenen Grenzen hinaus, was kritische Datenstrukturen korrumpiert und dem Angreifer die Umleitung der Codeausführung ermöglicht. Die Schriftart-Rendering in betroffenen Windows-Versionen erfolgt teilweise im Kernel-Modus über den win32k.sys-Treiber, wodurch eine erfolgreiche Ausnutzung potenziell Kernel-Level-Codeausführung erreichen kann.
Häufig gestellte Fragen
Wird CVE-2016-7256 aktiv ausgenutzt?
Ja, CVE-2016-7256 wird aktiv ausgenutzt. Die CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 15. Juni 2022. Das EPSS-Perzentil von 98,5 % belegt eine nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2016-7256 betroffen?
Von CVE-2016-7256 ist Microsoft Windows über die Schriftartenbibliothek betroffen. Mehrere Windows-Versionen sind verwundbar, wenn die Schriftartenbibliothek speziell gestaltete eingebettete Schriftarten unsachgemäß verarbeitet.
Wie behebe ich CVE-2016-7256?
Installieren Sie die Microsoft-Sicherheitspatches, die diese Schwachstelle adressieren. Aktivieren Sie auf Windows 10 und höher die Gruppenrichtlinie "Untrusted Font Blocking". Upgraden Sie auf eine aktuelle Windows-Version mit modernem Schriftart-Sandboxing.
Wie schwerwiegend ist CVE-2016-7256?
CVE-2016-7256 ist eine Remote-Code-Execution-Schwachstelle mit einem EPSS-Perzentil von 98,5 %, was auf nahezu sichere Ausnutzung hinweist. Schriftart-Parsing-Schwachstellen sind besonders gefährlich, da die Verarbeitung mit erhöhten Rechten erfolgen kann und automatisch beim Anzeigen von Inhalten ausgelöst wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.