CVE-2017-11774
Microsoft Office Outlook Security Feature Bypass Vulnerability
Beschreibung
CVE-2017-11774 ist eine schwerwiegende Sicherheitsfunktions-Bypass-Schwachstelle in Microsoft Outlook, die es einem Angreifer ermöglicht, beliebige Befehle auszuführen. Die Schwachstelle resultiert aus der unsachgemäßen Verarbeitung von Objekten im Speicher durch Microsoft Office, wodurch Angreifer Outlook-Sicherheitsbeschränkungen umgehen und über die Outlook-Startseiten-Funktion Codeausführung erreichen können. Diese Microsoft Office-Schwachstelle wurde aktiv von fortgeschrittenen Bedrohungsakteuren ausgenutzt und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet. Mit einem EPSS-Score von 82,85 % (99,2. Perzentil) bleibt CVE-2017-11774 eine erhebliche Bedrohung für Organisationen, die ungepatchtes Microsoft Outlook 2010, 2013 oder 2016 betreiben.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | outlook | 2010; 2013; 2016 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/101098(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1039542(Broken Link, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11774(Patch, Vendor Advisory)
- https://sensepost.com/blog/2017/outlook-home-page-another-ruler-vector/(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-11774(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Microsoft Outlook ist von einer Schwachstelle bei der Pufferbegrenzung betroffen, die mit der unsachgemäßen Einschränkung von Operationen innerhalb von Speicherpuffergrenzen zusammenhängt. Diese Schwachstellenklasse umfasst Situationen, in denen Software Operationen an einem Speicherpuffer ausführt, aber aus Speicherbereichen außerhalb der vorgesehenen Grenze lesen oder in diese schreiben kann, was zu Speicherkorruption und potenzieller Codeausführung führt. Im Kontext von CVE-2017-11774 ermöglicht die unsachgemäße Speicherverarbeitung in Microsoft Office Angreifern, Outlooks Sicherheits-Sandbox zu umgehen und beliebige Befehle auszuführen.
Mehr erfahren: CWE-119 — Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Auswirkungsanalyse
CVE-2017-11774 hat einen CVSS 3.1-Score von 7,8 (HOCH) und stellt eine erhebliche Bedrohung für Organisationen dar, die betroffene Outlook-Versionen verwenden. Die Schwachstelle hat einen lokalen Angriffsvektor — die Ausnutzung erfordert, dass der Benutzer mit einer bösartigen Outlook-Konfiguration interagiert — aber die Angriffskomplexität ist niedrig, was bedeutet, dass über Social Engineering hinaus keine besonderen Bedingungen erforderlich sind. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung gewährt dem Angreifer vollständigen Zugriff auf das Postfach des Benutzers, Anmeldeinformationen und alle Daten, die innerhalb des Berechtigungskontexts des Benutzers zugänglich sind. Integrität (Hoch): Ein Angreifer kann beliebige Befehle ausführen, Daten ändern, persistente Zugriffsmechanismen installieren und Outlook-Konfigurationen verändern, um fortlaufenden Zugriff aufrechtzuerhalten. Verfügbarkeit (Hoch): Die Schwachstelle kann genutzt werden, um E-Mail-Dienste zu stören, destruktive Payloads einzusetzen oder Systeminstabilität durch beliebige Befehlsausführung zu verursachen. Der EPSS-Score von 82,85 % deutet auf hochwahrscheinliche Ausnutzungsaktivität hin. Der Outlook-Startseiten-Angriffsvektor ist besonders heimtückisch, da er remote über Exchange-Regeln konfiguriert werden kann, was persistenten Zugriff ermöglicht, selbst nachdem der ursprüngliche Kompromittierungsvektor behoben wurde.
Exploit-Reifegrad
CVE-2017-11774 wurde aktiv von raffinierten Bedrohungsakteuren ausgenutzt, einschließlich staatlich geförderter Gruppen, wie durch die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen bestätigt. Öffentliche Exploit-Details sind verfügbar durch SensePosts Forschung zum Outlook-Startseiten-Vektor, die detailliert beschreibt, wie die Outlook-Startseiten-Funktion missbraucht werden kann, um Sicherheitskontrollen zu umgehen und beliebige Befehle auszuführen. Der EPSS-Score von 82,85 % (99,2. Perzentil) deutet auf hochwahrscheinliche Ausnutzungsaktivität hin. Diese Schwachstelle ist bemerkenswert für ihre Nutzung durch Advanced Persistent Threat-Gruppen, die die Outlook-Startseiten-Funktion als persistenten Backdoor-Mechanismus einsetzen und bösartige Startseiten über Exchange-Regeln konfigurieren, die jedes Mal Code ausführen, wenn der betroffene Ordner in Outlook geöffnet wird.
Behebung
- Herstellerpatches sofort anwenden wie von CISA KEV vorgeschrieben: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat Sicherheitsupdates für CVE-2017-11774 über das Oktober 2017 MSRC-Advisory veröffentlicht.
- Alle betroffenen Microsoft Outlook-Installationen aktualisieren — Outlook 2010 SP2, Outlook 2013 SP1 und Outlook 2016 sind verwundbar. Überprüfen Sie, dass der Sicherheitspatch auf allen Endpunkten bereitgestellt wurde, die diese Versionen ausführen.
- Die Outlook-Startseiten-Funktion deaktivieren über Gruppenrichtlinien oder Registrierungseinstellungen, um den primären Angriffsvektor zu eliminieren. Den Registrierungsschlüssel
HKCU\\Software\\Microsoft\\Office\\{version}\\Outlook\\WebView\\{folder}setzen, um benutzerdefinierte Startseitenkonfigurationen zu verhindern. - Exchange-Regeln und Outlook-Konfigurationen auditieren auf Anzeichen bösartiger Startseiteneinstellungen. Auf nicht autorisierte Outlook-Regeln prüfen, die Ordner-Startseiten ändern, da diese remote über kompromittierte Exchange-Konten gesetzt werden können und über Sitzungen hinweg bestehen bleiben.
- Auf Kompromittierungsindikatoren überwachen, einschließlich unerwarteter Outlook-Startseitenkonfigurationen, ungewöhnlichem Process Spawning von outlook.exe, verdächtiger Exchange-Regeländerungen und anomaler Befehlsausführung, die vom Outlook-Prozess ausgeht. E-Mail-Server-Protokolle überprüfen und Threat Hunting mit Fokus auf Outlook-basierte Persistenzmechanismen durchführen.
Technische Details
CVE-2017-11774 nutzt die Outlook-Startseiten-Funktion aus, wobei die zugrunde liegende Schwachstelle bei der Speicherverarbeitung (CWE-119) in Microsoft Office die Umgehung von Sicherheitsbeschränkungen ermöglicht, die Codeausführung aus Outlook heraus verhindern sollen. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) klassifiziert den Angriff als lokal mit erforderlicher Benutzerinteraktion, obwohl in der Praxis die Outlook-Startseite remote über Exchange-Regeln konfiguriert werden kann. Die Startseiten-Funktion ermöglicht das Festlegen einer benutzerdefinierten URL, die innerhalb einer Outlook-Ordneransicht gerendert wird, und der Sicherheitsfunktions-Bypass ermöglicht es dem geladenen Inhalt, beliebige Befehle außerhalb der Outlook-Sandbox auszuführen. Die niedrige Angriffskomplexität spiegelt die unkomplizierte Ausnutzungstechnik wider — sobald eine bösartige Startseiten-URL konfiguriert ist, erfolgt die Codeausführung automatisch, wenn der Benutzer zum betroffenen Ordner navigiert. Diese Kombination aus unsachgemäßen Speicherpufferoperationen und Sicherheitsfunktions-Bypass macht die Schwachstelle besonders mächtig für die Etablierung persistenten Zugriffs, da die bösartige Konfiguration Outlook-Neustarts überlebt und durch serverseitige Exchange-Regeln erneut angewendet werden kann.
Häufig gestellte Fragen
Wird CVE-2017-11774 aktiv ausgenutzt?
Ja. CVE-2017-11774 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was die aktive Ausnutzung in freier Wildbahn bestätigt. Die Schwachstelle wurde von Advanced Persistent Threat-Gruppen als persistenter Backdoor-Mechanismus über die Outlook-Startseiten-Funktion eingesetzt. Der EPSS-Score von 82,85 % (99,2. Perzentil) bestätigt die hochwahrscheinliche Ausnutzungsaktivität.
Welche Produkte sind betroffen?
CVE-2017-11774 betrifft Microsoft Outlook 2010 SP2, Outlook 2013 SP1 (einschließlich RT SP1) und Outlook 2016. Die Schwachstelle liegt in der Art und Weise, wie Microsoft Office Objekte im Speicher verarbeitet, und betrifft speziell die Outlook-Startseiten-Funktion, die benutzerdefiniertes URL-Rendering innerhalb von Ordneransichten ermöglicht.
Wie behebe ich CVE-2017-11774?
Wenden Sie die Sicherheitsupdates von Microsoft über das Oktober 2017 MSRC-Advisory an. Deaktivieren Sie zusätzlich die Outlook-Startseiten-Funktion über Gruppenrichtlinien oder Registrierungseinstellungen, um den Angriffsvektor vollständig zu eliminieren. Auditieren Sie Exchange-Regeln auf nicht autorisierte Startseitenkonfigurationen, die auf eine frühere Kompromittierung hindeuten könnten.
Wie schwerwiegend ist CVE-2017-11774?
CVE-2017-11774 hat einen CVSS 3.1-Score von 7,8 (HOCH). Die Schwachstelle ermöglicht die Ausführung beliebiger Befehle über Microsoft Outlook und wurde von fortgeschrittenen Bedrohungsakteuren als Waffe eingesetzt. Mit einem EPSS-Score von 82,85 % und bestätigter aktiver Ausnutzung ist dies eine Schwachstelle mit hoher Priorität, die sowohl Patching als auch Konfigurationshärtung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.