CVE-2017-11882
Microsoft Office Memory Corruption Vulnerability
Beschreibung
CVE-2017-11882 ist eine schwerwiegende Memory-Corruption-Schwachstelle in Microsoft Office, die es einem Angreifer ermöglicht, beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Die Schwachstelle besteht, weil Microsoft Office 2007 bis 2016 Objekte im Speicher nicht ordnungsgemäß verarbeitet, was Remote-Code-Execution ermöglicht, wenn ein Benutzer ein speziell präpariertes Dokument öffnet. Die CISA hat die aktive Ausnutzung bestätigt, indem diese Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen wurde, und sie wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 94,38 % (99,97. Perzentil) gehört CVE-2017-11882 zu den am häufigsten ausgenutzten Schwachstellen weltweit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office | 2007; 2010; 2013; 2016 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://reversingminds-blog.logdown.com/posts/3907313-fileless-attack-in-word-without-macros-cve-2017-11882(Exploit, Third Party Advisory)
- http://www.securityfocus.com/bid/101757(Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1039783(Third Party Advisory, VDB Entry)
- https://0patch.blogspot.com/2017/11/did-microsoft-just-manually-patch-their.html(Exploit, Third Party Advisory)
- https://0patch.blogspot.com/2017/11/official-patch-for-cve-2017-11882-meets.html(Exploit, Patch, Third Party Advisory)
- https://github.com/0x09AL/CVE-2017-11882-metasploit(Exploit, Third Party Advisory)
- https://github.com/embedi/CVE-2017-11882(Exploit, Third Party Advisory)
- https://github.com/rxwx/CVE-2017-11882(Exploit, Third Party Advisory)
- https://github.com/unamer/CVE-2017-11882(Exploit, Third Party Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882(Patch, Vendor Advisory)
- https://researchcenter.paloaltonetworks.com/2017/12/unit42-analysis-of-cve-2017-11882-exploit-in-the-wild/(Exploit, Third Party Advisory)
- https://web.archive.org/web/20181104111128/https://embedi.com/blog/skeleton-closet-ms-office-vulnerability-you-didnt-know-about/(Exploit, Mitigation, Third Party Advisory)
- https://www.exploit-db.com/exploits/43163/(Exploit, Third Party Advisory, VDB Entry)
- https://www.kb.cert.org/vuls/id/421280(Third Party Advisory, US Government Resource)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-11882(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
CWE-119 beschreibt eine Klasse von Schwachstellen, bei denen Software Operationen auf einem Speicherpuffer durchführt, ohne Lese- oder Schreibvorgänge ordnungsgemäß auf die vorgesehenen Grenzen zu beschränken. Im Fall von CVE-2017-11882 verarbeitet Microsoft Office Objekte im Speicher unsachgemäß, was es einem Angreifer ermöglicht, den Speicher zu korrumpieren und beliebigen Code über ein speziell präpariertes Office-Dokument auszuführen.
Mehr erfahren: CWE-119 — Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Auswirkungsanalyse
CVE-2017-11882 hat einen CVSS-3.1-Score von 7,8 (HOCH) und stellt eine erhebliche Sicherheitsbedrohung für Organisationen dar, die betroffene Microsoft-Office-Versionen verwenden. Die Schwachstelle erfordert lokalen Zugriff über ein bösartiges Dokument, hat aber eine geringe Angriffskomplexität und erfordert keine Authentifizierung, wobei eine Benutzerinteraktion zum Öffnen der präparierten Datei erforderlich ist. Vertraulichkeit (Hoch): Ein Angreifer kann vollständigen Zugriff auf sensible Daten erlangen, die dem aktuellen Benutzer zugänglich sind. Integrität (Hoch): Eine vollständige Modifikation von Dateien, Daten und Systemkonfigurationen im Kontext des Benutzers ist möglich. Verfügbarkeit (Hoch): Eine vollständige Unterbrechung der Office-Anwendung und potenziell des Benutzersystems kann auftreten. Der EPSS-Score von 94,38 % (99,97. Perzentil) platziert diese Schwachstelle am extremen Ende der Ausnutzungswahrscheinlichkeit. Entscheidend ist, dass diese Schwachstelle bekanntermaßen in Ransomware-Kampagnen eingesetzt wird, was das Risiko von Datenverschlüsselung und Erpressung für betroffene Organisationen erheblich erhöht.
Exploit-Reifegrad
CVE-2017-11882 verfügt über eine außergewöhnlich reife Exploit-Landschaft und bleibt eine der weltweit am aktivsten ausgenutzten Schwachstellen. Die CISA hat sie im Katalog der bekannten ausgenutzten Schwachstellen mit einer Behebungsfrist bis zum 03.05.2022 gelistet, und Ransomware-Nutzung ist bestätigt. Zahlreiche öffentliche Exploit-Ressourcen sind verfügbar, darunter Proof-of-Concept-Code auf GitHub (embedi), GitHub (rxwx), ein Metasploit-Modul und Exploit-Beschreibungen auf Exploit-DB. Zusätzlich dokumentiert eine eingehende Analyse von Palo Alto Networks Unit 42 reale Ausnutzungsmuster. Der EPSS-Score von 94,38 % (99,97. Perzentil) bestätigt, dass diese Schwachstelle zu den am sichersten ausgenutzten gehört, und ihre fortgesetzte Verwendung in dateilosen Angriffen und Phishing-Kampagnen macht sie zu einer anhaltenden Bedrohung.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe: Updates gemäß Herstelleranweisungen installieren. Das neueste Sicherheitsupdate vom Microsoft Security Response Center installieren.
- Überprüfen Sie, dass alle Instanzen von Microsoft Office 2007 Service Pack 3, Office 2010 Service Pack 2, Office 2013 Service Pack 1 und Office 2016 in der gesamten Organisation auf gepatchte Versionen aktualisiert wurden.
- Als Zwischenlösung die Equation-Editor-Komponente (EQNEDT32.EXE) in Microsoft Office deaktivieren, die die spezifische Komponente mit der Memory-Corruption-Schwachstelle ist. Dies kann über Registry-Änderungen oder Anwendungskontrollrichtlinien erreicht werden.
- E-Mail-Sicherheitskontrollen implementieren, um eingehende Anhänge auf waffenfähige Office-Dokumente zu scannen. Sandbox-Detonation für verdächtige Office-Dateien einsetzen und Dokumente mit eingebetteten OLE-Objekten aus nicht vertrauenswürdigen Quellen blockieren.
- Advanced Threat Protection (ATP) aktivieren und Endpoint-Detection-and-Response-Lösungen (EDR) konfigurieren, um auf Memory-Corruption-Ausnutzungsmuster zu überwachen, einschließlich ungewöhnlicher Kindprozesserstellung aus Office-Anwendungen und unerwarteter Netzwerkverbindungen während des Dokument-Renderings.
Technische Details
CVE-2017-11882 ist eine Memory-Corruption-Schwachstelle in der Microsoft-Equation-Editor-Komponente (EQNEDT32.EXE), einer Legacy-OLE-Komponente, die mit Microsoft Office 2007 bis 2016 gebündelt wird. Die Schwachstelle fällt unter CWE-119, wobei die Software Operationen innerhalb der Grenzen eines Speicherpuffers nicht ordnungsgemäß einschränkt. Konkret validiert der Equation Editor die Länge von Daten nicht, bevor er sie in einen Stapelpuffer fester Größe kopiert, was einen stapelbasierten Pufferüberlauf ermöglicht. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt, dass die Ausnutzung lokalen Zugriff über ein bösartiges Dokument mit geringer Komplexität und ohne Privilegien erfordert, wobei eine Benutzerinteraktion zum Öffnen der Datei notwendig ist. Bemerkenswert ist, dass EQNEDT32.EXE als separater Prozess außerhalb des Speicherbereichs der Office-Anwendung läuft und moderne Exploit-Mitigationen wie ASLR und DEP fehlen, was die Ausnutzung hochzuverlässig macht und eine konsistente Code-Ausführung über verschiedene Systemkonfigurationen hinweg ermöglicht.
Häufig gestellte Fragen
Wird CVE-2017-11882 aktiv ausgenutzt?
Ja. CVE-2017-11882 ist eine der am aktivsten ausgenutzten Schwachstellen, die von der CISA verfolgt werden. Sie ist im Katalog der bekannten ausgenutzten Schwachstellen gelistet, und Ransomware-Kampagnen nutzen diese Schwachstelle bekanntermaßen aus. Der EPSS-Score von 94,38 % (99,97. Perzentil) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind betroffen?
CVE-2017-11882 betrifft Microsoft Office 2007 Service Pack 3, Microsoft Office 2010 Service Pack 2, Microsoft Office 2013 Service Pack 1 und Microsoft Office 2016. Jedes System, das diese Office-Versionen mit der Equation-Editor-Komponente ausführt, ist verwundbar.
Wie behebe ich CVE-2017-11882?
Wenden Sie Updates gemäß den Herstelleranweisungen an, indem Sie das neueste Microsoft-Sicherheitsupdate für alle betroffenen Office-Versionen installieren. Deaktivieren Sie zusätzlich die Equation-Editor-Komponente (EQNEDT32.EXE) über Registry-Änderungen oder Anwendungskontrollrichtlinien. Implementieren Sie E-Mail-Sicherheitskontrollen, um waffenfähige Office-Dokumente zu erkennen und zu blockieren.
Wie schwerwiegend ist CVE-2017-11882?
CVE-2017-11882 hat einen CVSS-3.1-Score von 7,8 (HOCH) mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Der EPSS-Score von 94,38 % (99,97. Perzentil) platziert die Schwachstelle unter den am häufigsten ausgenutzten weltweit, und die bestätigte Verwendung in Ransomware-Kampagnen macht sie zu einem extrem hochprioritären Behebungsziel.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.