CVE-2017-0199
Microsoft Office and WordPad Remote Code Execution Vulnerability
Beschreibung
CVE-2017-0199 ist eine schwerwiegende Remote Code Execution-Schwachstelle in Microsoft Office und WordPad. Die Schwachstelle ermöglicht es einem Angreifer, beliebigen Code auszuführen, indem er einen Benutzer dazu bringt, ein speziell präpariertes Dokument zu öffnen, das ein eingebettetes OLE2link-Objekt enthält, welches eine bösartige HTA-Datei (HTML Application) von einem Remote-Server abruft und ausführt. Diese Microsoft Office-Schwachstelle wurde umfassend in freier Wildbahn ausgenutzt und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet. Mit einem EPSS-Score von 94,33 % (99,7. Perzentil) und bestätigter Verwendung in Ransomware-Kampagnen bleibt CVE-2017-0199 einer der am aktivsten angegriffenen dokumentbasierten Angriffsvektoren.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office | 2007; 2010; 2013; 2016 |
| microsoft | windows 7 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | - |
| microsoft | windows vista | - |
| philips | intellispace portal | 7.0; 8.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://rewtin.blogspot.nl/2017/04/cve-2017-0199-practical-exploitation-poc.html(Exploit, Third Party Advisory)
- http://www.securityfocus.com/bid/97498(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038224(Broken Link, Third Party Advisory, VDB Entry)
- https://blog.nviso.be/2017/04/12/analysis-of-a-cve-2017-0199-malicious-rtf-document/(Exploit, Third Party Advisory)
- https://ics-cert.us-cert.gov/advisories/ICSMA-18-058-02(Third Party Advisory, US Government Resource)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0199(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/41894/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/41934/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/42995/(Third Party Advisory, VDB Entry)
- https://www.fireeye.com/blog/threat-research/2017/04/cve-2017-0199_useda.html(Broken Link, Exploit, Third Party Advisory)
- https://www.mdsec.co.uk/2017/04/exploiting-cve-2017-0199-hta-handler-vulnerability/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-0199(US Government Resource)
Schwachstellentyp
Für diese CVE wurde in der NVD-Datenbank keine CWE-Klassifizierung zugewiesen. Die Schwachstelle betrifft die unsachgemäße Verarbeitung von OLE2link-Objekten in Microsoft Office-Dokumenten, die Remote Code Execution über den Windows HTA-Handler ermöglicht. Die zugrunde liegende Schwäche bezieht sich auf die Art und Weise, wie Microsoft Office eingebettete Objekte verarbeitet, die auf externe Inhalte verweisen können, was es einem Angreifer ermöglicht, bösartige Nutzlasten über Dokumentdateien zu liefern und auszuführen.
Auswirkungsanalyse
CVE-2017-0199 hat einen CVSS 3.1-Score von 7,8 (HOCH) und stellt eine schwerwiegende Bedrohung für Organisationen dar, die betroffene Microsoft Office-Versionen verwenden. Die Schwachstelle erfordert in Bezug auf die CVSS-Klassifizierung lokalen Zugriff — der Angriff wird initiiert, wenn ein Benutzer ein bösartiges Dokument öffnet — hat aber eine niedrige Angriffskomplexität, was bedeutet, dass über das Social Engineering des Opfers zum Öffnen der Datei hinaus keine besonderen Bedingungen erforderlich sind. Vertraulichkeit (Hoch): Eine vollständige Kompromittierung der Datenvertraulichkeit ist möglich, da die Ausführung beliebigen Codes dem Angreifer Zugang zu allen Informationen gewährt, die der Benutzer erreichen kann. Integrität (Hoch): Der Angreifer kann Daten ändern, löschen oder korrumpieren und persistente Backdoors auf dem betroffenen System installieren. Verfügbarkeit (Hoch): Eine vollständige Unterbrechung der Systemverfügbarkeit ist durch Ransomware-Einsatz oder destruktive Payloads möglich. Der EPSS-Score von 94,33 % deutet auf nahezu sichere Ausnutzungsaktivität hin. Die bestätigte Verwendung in Ransomware-Kampagnen und die Verfügbarkeit mehrerer öffentlicher Exploits machen diese Schwachstelle extrem gefährlich für jede Organisation mit ungepatchten Microsoft Office-Installationen.
Exploit-Reifegrad
CVE-2017-0199 verfügt über eine hochentwickelte Exploit-Landschaft mit mehreren öffentlich verfügbaren Exploit-Tools und Proof-of-Concept-Code. Öffentlicher Exploit-Code ist verfügbar über Exploit-DB (41894) und Exploit-DB (41934), zusammen mit detaillierten technischen Analysen von Sicherheitsforschern und NVISO Labs. CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt, und die Schwachstelle ist mit bekannten Ransomware-Kampagnen verbunden. Der EPSS-Score von 94,33 % (99,7. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin und macht dies zu einer der am aktivsten ausgenutzten Microsoft Office-Schwachstellen. Die Verfügbarkeit von schlüsselfertigen Exploit-Code über mehrere Quellen, kombiniert mit der Einfachheit des Angriffs — es ist lediglich erforderlich, dass ein Opfer ein Dokument öffnet — hat CVE-2017-0199 zu einem bevorzugten Werkzeug sowohl für cyberkriminelle Gruppen als auch für Advanced Persistent Threat-Akteure gemacht.
Behebung
- Herstellerpatches sofort anwenden wie von CISA KEV vorgeschrieben: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat Sicherheitsupdates für alle betroffenen Office-Versionen über das MSRC-Advisory veröffentlicht.
- Alle betroffenen Microsoft Office-Installationen aktualisieren — Office 2007, 2010, 2013 und 2016 sind bestätigt verwundbar. Zusätzlich Patches für betroffene Windows-Systeme (Windows Vista, Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012) anwenden, da auch WordPad betroffen ist.
- Die Windows OLE-Funktion deaktivieren, wo nicht erforderlich, und Microsoft Office so konfigurieren, dass Dokumente standardmäßig in der geschützten Ansicht geöffnet werden. Die Ausführung von HTA-Dateien über Gruppenrichtlinien oder Application-Whitelisting-Lösungen blockieren.
- E-Mail- und Web-Gateway-Schutzmaßnahmen einsetzen, um Office-Dokumente mit eingebetteten OLE-Objekten aus nicht vertrauenswürdigen Quellen zu filtern. E-Mail-Sicherheitslösungen konfigurieren, um verdächtige RTF- und DOC-Anhänge, die diese Schwachstelle ausnutzen könnten, zu blockieren oder in Quarantäne zu stellen.
- Auf Kompromittierungsindikatoren überwachen, einschließlich ungewöhnlicher HTA-Dateiausführung, ausgehender Verbindungen von Office-Prozessen zu externen Servern und unerwartetem Child Process Spawning von winword.exe oder wordpad.exe. Sicherheitsprotokolle überprüfen und Threat Hunting mit Fokus auf dokumentbasierte Angriffsmuster durchführen.
Technische Details
CVE-2017-0199 nutzt die Art und Weise aus, wie Microsoft Office und WordPad OLE2link-Objekte verarbeiten, die in Dokumentdateien eingebettet sind. Wenn ein Benutzer eine speziell präparierte RTF- oder DOCX-Datei öffnet, weist das eingebettete OLE2link-Objekt die Anwendung an, Inhalte von einem Remote-Server abzurufen. Der abgerufene Inhalt ist eine HTA-Datei (HTML Application), die dann vom Windows HTA-Handler (mshta.exe) außerhalb der Office-Sandbox ausgeführt wird. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) klassifiziert den Angriffsvektor als lokal, da die Ausnutzung das Öffnen einer Datei erfordert, obwohl das bösartige Dokument typischerweise per E-Mail oder Web-Download übermittelt wird. Die niedrige Angriffskomplexität und das Fehlen von Privilegienanforderungen bedeuten, dass jeder Benutzer, der das Dokument öffnet, den Exploit auslöst, unabhängig von seiner Systemkonfiguration. Die HTA-Ausführung bietet vollständige Code-Ausführungsmöglichkeiten, was dies zu einem äußerst zuverlässigen und gefährlichen Angriffsvektor macht, der weitverbreitet in Phishing-Kampagnen und Malware-Verteilungsoperationen eingesetzt wird.
Häufig gestellte Fragen
Wird CVE-2017-0199 aktiv ausgenutzt?
Ja. CVE-2017-0199 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was die aktive Ausnutzung in freier Wildbahn bestätigt. Die Schwachstelle wurde mit Ransomware-Kampagnen in Verbindung gebracht und wird umfassend sowohl von cyberkriminellen als auch von staatlich geförderten Bedrohungsakteuren eingesetzt. Der EPSS-Score von 94,33 % (99,7. Perzentil) bestätigt nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind betroffen?
CVE-2017-0199 betrifft Microsoft Office 2007, 2010, 2013 und 2016 sowie Microsoft WordPad unter Windows Vista, Windows 7, Windows Server 2008 (einschließlich R2) und Windows Server 2012. Zusätzlich sind Philips IntelliSpace Portal Versionen 7.0 und 8.0 betroffen, da sie verwundbare Microsoft Office-Komponenten verwenden.
Wie behebe ich CVE-2017-0199?
Wenden Sie die von Microsoft über das MSRC-Advisory bereitgestellten Sicherheitsupdates für alle betroffenen Office-Versionen und Windows-Systeme an. Aktivieren Sie die geschützte Ansicht in Microsoft Office, um die automatische Ausführung eingebetteter Objekte zu verhindern. Als Defense-in-Depth-Maßnahme deaktivieren Sie die HTA-Dateiausführung und implementieren Sie E-Mail-Filterung, um verdächtige Dokumentanhänge zu blockieren.
Wie schwerwiegend ist CVE-2017-0199?
CVE-2017-0199 hat einen CVSS 3.1-Score von 7,8 (HOCH). Die Kombination aus niedriger Angriffskomplexität, mehreren öffentlichen Exploits, bestätigter Ransomware-Nutzung und einem EPSS-Score von 94,33 % macht dies zu einer Schwachstelle mit extrem hoher Priorität. Eine erfolgreiche Ausnutzung ermöglicht vollständige Remote Code Execution auf dem System des Opfers.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.