CVE-2017-0262
Microsoft Office Remote Code Execution Vulnerability
Beschreibung
CVE-2017-0262 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in Microsoft Office mit einem CVSS-3.1-Score von 7.8 (HIGH). Die Schwachstelle ermöglicht einem Angreifer die Ausführung beliebigen Codes im Kontext des aktuellen Benutzers durch ein manipuliertes Office-Dokument mit einem speziell präparierten EPS-Bild (Encapsulated PostScript). Betroffen sind Microsoft Office 2010, 2013 und 2016. Das Öffnen des Dokuments genügt zur Ausnutzung. Die Schwachstelle wurde von der APT28-Gruppe (Fancy Bear) in Kombination mit CVE-2017-0263 (Win32k-Privilegieneskalation) für vollständige Systemkompromittierung eingesetzt. Aufnahme in den CISA-KEV-Katalog am 10. Februar 2022, Behebungsfrist bis 10. August 2022. EPSS-Score: 65,05 % (98,45. Perzentile).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office | 2010; 2013; 2016 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/98279(Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0262(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-0262(US Government Resource)
Schwachstellentyp
Schwachstelle in der EPS-Bildverarbeitung
CVE-2017-0262 hat in der NVD-Datenbank keine formal zugewiesene CWE, doch die zugrunde liegende Schwäche betrifft die unsachgemäße Verarbeitung von Encapsulated PostScript (EPS) Bildinhalten in Microsoft Office. Die Schwachstelle liegt in der EPS-Filterkomponente, die Office zum Rendern von PostScript-Grafiken in Dokumenten verwendet.
Das EPS-Format, ein älteres Bildformat basierend auf der PostScript-Sprache, unterstützt komplexe Skript-Funktionalitäten, die zur Codeausführung missbraucht werden können. Der EPS-Filter von Microsoft Office validiert und sandboxt die Verarbeitung von PostScript-Befehlen nicht ausreichend, wodurch ein Angreifer EPS-Inhalte erstellen kann, die den vorgesehenen Verarbeitungskontext verlassen und beliebigen Code ausführen.
Auswirkungsanalyse
CVE-2017-0262 erreicht einen CVSS-3.1-Score von 7.8 (HIGH) mit vollständigen Auswirkungen bei Kombination mit Social-Engineering-Zustellung.
Vertraulichkeit (High): Erfolgreiche Ausnutzung führt Code im Kontext des aktuellen Benutzers aus und gewährt Zugriff auf alle Dateien, E-Mails, Anmeldedaten und Daten, die dem Benutzer zugänglich sind.
Integrität (High): Der Angreifer kann Dateien modifizieren, Malware installieren und Systemkonfigurationen im Berechtigungsumfang des Benutzers ändern. In Kombination mit CVE-2017-0263 erstreckt sich die Integritätsauswirkung auf das gesamte System.
Verfügbarkeit (High): Der Angreifer kann Anwendungen abstürzen lassen, Dateien beschädigen oder Ransomware einsetzen. Über Privilegieneskalation können umfassendere Systemoperationen gestört werden.
Angriffsanforderungen: Benutzerinteraktion (UI:R) ist erforderlich — das Opfer muss ein bösartiges Office-Dokument öffnen. In gezielten Spear-Phishing-Kampagnen stellt dies einen realistischen Angriffsvektor dar.
Mit einem EPSS-Score von 65,05 % (98,45. Perzentile) besteht eine erhebliche Ausnutzungswahrscheinlichkeit, konsistent mit dem Einsatz in ausgeklügelten gezielten Kampagnen.
Exploit-Reifegrad
Exploit-Status: CVE-2017-0262 weist eine hohe Exploit-Reife auf mit bestätigtem Einsatz in nationalstaatlichen gezielten Angriffen.
APT28-Ausnutzung: Die Schwachstelle wurde von der APT28-Gruppe (Fancy Bear) in gezielten Spear-Phishing-Kampagnen aktiv ausgenutzt. Manipulierte Office-Dokumente mit präparierten EPS-Bildern wurden an hochwertige Ziele in Regierungs- und politischen Organisationen gesendet.
Mehrstufige Angriffskette: CVE-2017-0262 diente als initiale Zugangskomponente. Nach der Codeausführung über die EPS-Schwachstelle wurde CVE-2017-0263 (Win32k-Privilegieneskalation) für Kernel-Level-Zugriff eingesetzt.
KEV-Eintrag: Aufnahme in den CISA-KEV-Katalog am 10. Februar 2022, Behebungsfrist bis 10. August 2022.
Ransomware-Bezug: Kein direkter Ransomware-Bezug laut CISA-KEV, aber der Einsatz in ausgeklügelten Angriffsketten demonstriert den Wert als initialer Zugriffsvektor.
EPS-Filter-Kontext: Nach CVE-2017-0262 und verwandten EPS-Schwachstellen hat Microsoft den EPS-Filter in Office standardmäßig deaktiviert.
EPSS-Kontext: Der EPSS-Score von 65,05 % (98,45. Perzentile) bestätigt eine deutlich überdurchschnittliche Ausnutzungswahrscheinlichkeit.
Behebung
-
Microsoft-Sicherheitsupdate installieren. Wenden Sie den Patch aus dem MSRC-Advisory für Microsoft Office 2010, 2013 und 2016 an.
-
EPS-Filter in Microsoft Office deaktivieren. Deaktivieren Sie den EPS-Filter über Registrierungseinstellungen oder Gruppenrichtlinien als Defense-in-Depth-Maßnahme.
-
CVE-2017-0263 gleichzeitig beheben. Da Angreifer beide Schwachstellen kombinierten, müssen beide gepatcht werden, um die vollständige Angriffskette zu unterbrechen.
-
E-Mail-Anhangfilterung implementieren. Konfigurieren Sie E-Mail-Sicherheits-Gateways zur Überprüfung und Blockierung von Office-Dokumenten mit eingebetteten EPS-Bildern.
-
Geschützte Ansicht und Application Guard aktivieren. Stellen Sie sicher, dass die geschützte Ansicht von Microsoft Office für Dokumente aus nicht vertrauenswürdigen Quellen aktiviert ist. Setzen Sie Office Application Guard für isoliertes Dokument-Rendering ein.
-
Spear-Phishing-Schulungen durchführen. Angesichts des APT-Zustellungsmechanismus über manipulierte Office-Dokumente sind gezielte Sicherheitsschulungen zu Risiken unerwarteter Dokumentanhänge erforderlich.
Technische Details
CVE-2017-0262 ist eine Remote-Code-Execution-Schwachstelle im EPS-Filter (Encapsulated PostScript) von Microsoft Office.
Angriffsvektor: Lokal (AV:L) — das Opfer muss eine bösartige Datei öffnen. Niedrige Komplexität (AC:L), keine Privilegien erforderlich (PR:N), Benutzerinteraktion erforderlich (UI:R). Zustellung über E-Mail, Dateifreigabe oder Web-Download.
Technischer Ablauf: Der Angreifer erstellt ein Office-Dokument mit einem eingebetteten EPS-Bild mit bösartigen PostScript-Befehlen. Beim Öffnen verarbeitet der EPS-Filter den PostScript-Inhalt. Die manipulierten PostScript-Befehle nutzen eine Schwachstelle in der Parsing-Logik des Filters aus und ermöglichen die Ausführung beliebigen Codes im Kontext des Office-Prozesses.
Payload-Zustellung: In APT28-Kampagnen lieferte der EPS-Exploit Shellcode, der zusätzliche Payloads herunterlud und ausführte, einschließlich des CVE-2017-0263-Kernel-Exploits zur Privilegieneskalation.
Betroffene Produkte: Microsoft Office 2010, 2013 und 2016. Microsoft hat den EPS-Filter anschließend standardmäßig in Office deaktiviert.
CVSS-Vektor: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H — der lokale Vektor mit Benutzerinteraktion spiegelt die dokumentbasierte Zustellung typischer Spear-Phishing-Angriffe wider.
Häufig gestellte Fragen
Was ist CVE-2017-0262?
CVE-2017-0262 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle im EPS-Filter von Microsoft Office. Ein Angreifer kann ein manipuliertes Office-Dokument mit eingebettetem EPS-Bild erstellen, das beim Öffnen beliebigen Code ausführt. Der CVSS-Score beträgt 7.8 und betrifft Office 2010, 2013 und 2016.
Wie wurde CVE-2017-0262 in realen Angriffen eingesetzt?
Die Schwachstelle wurde von der APT28-Gruppe (Fancy Bear) in Spear-Phishing-Kampagnen gegen Regierungs- und politische Organisationen aktiv ausgenutzt. Die Angreifer sendeten manipulierte Office-Dokumente per E-Mail und kombinierten die Schwachstelle mit CVE-2017-0263 für vollständige Systemkompromittierung.
Wie behebe ich CVE-2017-0262?
Installieren Sie das Microsoft-Sicherheitsupdate aus dem MSRC-Advisory. Deaktivieren Sie den EPS-Filter über Registrierung oder Gruppenrichtlinie. Patchen Sie gleichzeitig CVE-2017-0263 für die vollständige Angriffskette. Aktivieren Sie die geschützte Ansicht für Dokumente aus nicht vertrauenswürdigen Quellen.
Wie schwerwiegend ist CVE-2017-0262?
Mit einem CVSS-Score von 7.8 als HIGH eingestuft. Der EPSS-Score von 65,05 % (98,45. Perzentile) bestätigt hohe Ausnutzungswahrscheinlichkeit. Der bestätigte Einsatz in APT28-Angriffen zeigt die reale Schwere. In Kombination mit CVE-2017-0263 ermöglicht sie vollständige Systemübernahme durch das Öffnen eines einzigen Dokuments.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.