CVE-2017-8570
Microsoft Office Remote Code Execution Vulnerability
Beschreibung
CVE-2017-8570 ist eine Schwachstelle mit dem Schweregrad HIGH für Remote Code Execution in Microsoft Office 2007, 2010, 2013 und 2016, die auftritt, wenn die Software Objekte im Speicher nicht ordnungsgemäß verarbeitet. Die Schwachstelle ermöglicht es einem Angreifer, beliebigen Code im Kontext des aktuellen Benutzers auszuführen, indem ein Opfer dazu verleitet wird, eine speziell manipulierte Office-Datei zu öffnen, die typischerweise über Phishing-E-Mails oder bösartige Websites verbreitet wird. Mit einem CVSS-3.1-Score von 7,8 und einem EPSS-Score von 0,94247 (99,9. Perzentile) zeigt diese Schwachstelle nahezu sicher aktive Ausnutzung in der Praxis. CVE-2017-8570 ist im CISA Known Exploited Vulnerabilities (KEV) Katalog mit einer Behebungsfrist bis zum 25. August 2022 gelistet und ist derzeit nicht mit bekannten Ransomware-Kampagnen assoziiert. Die Schwachstelle ist eng verwandt mit der bekannten CVE-2017-0199 und nutzt einen ähnlichen OLE-Objekt-Verarbeitungsmechanismus.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | office | 2007; 2010; 2013; 2016 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/99445(Broken Link, Third Party Advisory, VDB Entry)
- https://github.com/ParsingTeam/ppsx-file-generator(Exploit, Third Party Advisory)
- https://github.com/rxwx/CVE-2017-8570(Third Party Advisory)
- https://github.com/tezukanice/Office8570(Exploit, Third Party Advisory)
- https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2017-8570(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-8570(US Government Resource)
Schwachstellentyp
Unsachgemäße Verarbeitung von Objekten im Speicher
Die unsachgemäße Verarbeitung von Objekten im Speicher ist eine breite Schwachstellenklasse, die mehrere Speichersicherheitsprobleme umfasst, darunter Use-after-free-Bedingungen, Type Confusion und inkorrekte Objekt-Lebenszyklusverwaltung. Wenn Software Objektreferenzen, Allokation und Deallokation im Speicher nicht ordnungsgemäß verwaltet, können Angreifer diese Inkonsistenzen manipulieren, um Speicherstrukturen zu korrumpieren und beliebige Code-Ausführung zu erreichen. Im Kontext komplexer Dokumentenverarbeitungsanwendungen wie Microsoft Office ist diese Schwachstellenklasse besonders verbreitet, da die Software zahlreiche eingebettete Objekttypen (OLE-Objekte, ActiveX-Steuerelemente, Skripte) aus nicht vertrauenswürdigen Dokumenten analysieren muss.
Bei CVE-2017-8570 verarbeitet Microsoft Office bestimmte Objekte beim Verarbeiten von Office-Dokumenten unsachgemäß, insbesondere über den Packager-OLE-Objektmechanismus. Diese Schwachstelle wird durch speziell manipulierte Dateien (häufig im PPSX- oder PPTX-Format) ausgenutzt, die eine bösartige Script-Moniker-Komponente einbetten. Wenn das Opfer das Dokument öffnet, instanziiert Office das eingebettete Objekt und löst den Schadcode aus, ohne dass Makros aktiviert werden müssen. Der Angriff nutzt die Composite-Moniker-Klasse, um eine eingebettete SCT-Datei (Windows Script Component) auszuführen und umgeht so traditionelle makrobasierte Sicherheitskontrollen. Weitere Informationen zu Speicherverarbeitungs-Schwachstellen finden Sie bei MITRE CWE-Ressourcen.
Auswirkungsanalyse
CVE-2017-8570 hat einen CVSS-3.1-Score von 7,8 (HIGH) mit unverändertem Scope und spiegelt schwerwiegende lokale Auswirkungen wider, wenn ein Benutzer ein bösartiges Office-Dokument öffnet.
Vertraulichkeit (High): Die erfolgreiche Ausnutzung führt beliebigen Code mit den Privilegien des aktuellen Benutzers aus und gewährt dem Angreifer Zugriff auf alle Dateien, E-Mails, Browser-Anmeldedaten und Netzwerkressourcen, die für das Benutzerkonto zugänglich sind. In Unternehmensumgebungen, in denen Benutzer oft Zugriff auf gemeinsame Laufwerke, interne Anwendungen und sensible Geschäftsdaten haben, können die Vertraulichkeitsauswirkungen einer einzelnen kompromittierten Arbeitsstation weitreichend sein. Angreifer nutzen diesen initialen Zugang häufig, um Anmeldedaten zu sammeln und sensible Dokumente zu exfiltrieren.
Integrität (High): Mit Code-Ausführung im Benutzerkontext kann ein Angreifer Dateien modifizieren, persistente Backdoors installieren, Systemkonfigurationen ändern und zusätzliche Malware bereitstellen. Der Angriff dient häufig als initialer Zugangsvektor in mehrstufigen Kampagnen, in denen der Angreifer anschließend Remote Access Trojaner (RATs) installiert, Keylogger einsetzt oder Command-and-Control-Kommunikation etabliert. Verfügt der kompromittierte Benutzer über administrative Rechte, erstreckt sich die Integritätsauswirkung auf Systemebene.
Verfügbarkeit (High): Der Angreifer kann die Arbeitsumgebung des Benutzers stören, indem er Dateien verschlüsselt, Prozesse beendet oder Systemressourcen verbraucht. Code-Ausführung im Benutzerkontext ermöglicht auch den Einsatz destruktiver Payloads, die die Arbeitsstation unbenutzbar machen oder sich über das Netzwerk verbreiten können.
Scope (Unchanged): Der Scope bleibt unverändert, da die Code-Ausführung innerhalb des Sicherheitskontexts des Benutzers auf demselben System erfolgt. Die praktischen Auswirkungen reichen jedoch durch Lateral Movement oft über den initialen Host hinaus. Mit einem EPSS-Score von 0,94247 in der 99,9. Perzentile hat diese Schwachstelle eine der höchsten Ausnutzungswahrscheinlichkeiten aller erfassten CVEs, was extrem verbreitete und aktive Kampagnen gegen Office-Benutzer weltweit widerspiegelt.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2017-8570 wird seit der Veröffentlichung im Juli 2017 umfangreich in der Praxis ausgenutzt. Die Schwachstelle ist im CISA-KEV-Katalog als aktiv ausgenutzt bestätigt und wurde in zahlreichen gezielten und breit angelegten Angriffskampagnen weltweit eingesetzt. Mehrere Threat-Intelligence-Berichte dokumentieren ihre Nutzung sowohl durch staatlich geförderte Gruppen als auch durch cyberkriminelle Organisationen.
Ransomware-Bezug: Obwohl der CISA-KEV-Eintrag keine spezifische Ransomware-Assoziation ausweist, wurde die Schwachstelle in Angriffsketten beobachtet, die zu verschiedenen Malware-Einsätzen führen. Ihre Rolle als initialer Zugangsvektor macht sie zu einem Vorläufer für mehrere End-Stage-Payloads, einschließlich Ransomware, Banking-Trojaner und Remote-Access-Tools.
Öffentliche Exploits: Mehrere öffentliche Exploit-Implementierungen sind verfügbar, darunter Tools auf GitHub wie der ppsx-file-generator von ParsingTeam und CVE-2017-8570 von rxwx. Diese Tools senken die Einstiegshürde für die Ausnutzung erheblich, indem sie fertige Exploit-Generatoren bereitstellen. Die breite Verfügbarkeit von Exploit-Code hat zum extrem hohen EPSS-Score beigetragen.
EPSS-Kontext: Der EPSS-Score von 0,94247 in der 99,9. Perzentile platziert diese Schwachstelle unter den am aktivsten ausgenutzten im gesamten CVE-Katalog. Dieser extreme Score spiegelt jahrelange anhaltende Ausnutzungsaktivität über diverse Bedrohungsakteur-Gruppen und Kampagnentypen wider.
KEV-Behebungsfrist: CISA setzte eine Behebungsfrist auf den 25. August 2022. Organisationen, die weiterhin ungepatchte Office 2007-, 2010-, 2013- oder 2016-Installationen betreiben, sind angesichts der trivialen Ausnutzbarkeit und breiten Verfügbarkeit von Angriffstools einem kritischen Risiko ausgesetzt.
Behebung
-
Microsoft-Sicherheitsupdate vom Juli 2017 sofort installieren. Installieren Sie den Patch gemäß Microsofts Sicherheitshinweis für CVE-2017-8570, um die OLE-Objekt-Verarbeitungsschwachstelle in Office 2007, 2010, 2013 und 2016 zu beheben. Überprüfen Sie die Patch-Verteilung über alle Office-Installationen hinweg mit Ihrem Patch-Management-System.
-
Auf Microsoft 365 oder Office 2019/2021 mit automatischen Updates migrieren. Ältere Office-Versionen (2007, 2010) haben das Ende des Supports erreicht und erhalten keine Sicherheitsupdates mehr. Migrieren Sie auf eine aktuell unterstützte Office-Version, die laufende Sicherheitspatches und moderne Sicherheitsfunktionen wie die geschützte Ansicht und Application Guard für Office enthält.
-
Sicherstellen, dass die geschützte Ansicht aktiviert und nicht umgangen wird. Die geschützte Ansicht von Microsoft Office öffnet Dokumente aus nicht vertrauenswürdigen Quellen in einem Sandbox-Nur-Lese-Modus, der die Ausnutzung blockiert. Überprüfen Sie per Gruppenrichtlinie, dass die geschützte Ansicht für aus dem Internet heruntergeladene Dateien, als E-Mail-Anhänge empfangene Dateien und aus unsicheren Speicherorten geöffnete Dateien aktiviert ist.
-
E-Mail-Anhangsfilterung und Sandboxing implementieren. Setzen Sie E-Mail-Sicherheitslösungen ein, die Office-Dokumentanhänge auf eingebettete OLE-Objekte, Script-Moniker und andere Exploit-Indikatoren prüfen. Konfigurieren Sie Attachment-Sandboxing, um verdächtige Dokumente in isolierten Umgebungen vor der Zustellung an Endbenutzer auszuführen.
-
Attack Surface Reduction (ASR) Regeln über Microsoft Defender aktivieren. Aktivieren Sie ASR-Regeln, die Office-Anwendungen daran hindern, Kindprozesse zu erstellen, ausführbare Inhalte zu erzeugen und Code in andere Prozesse einzuschleusen. Diese Regeln mindern speziell die von CVE-2017-8570 und ähnlichen Office-Dokument-Exploits verwendeten Techniken.
-
Benutzer-Awareness-Schulungen zu dokumentbasierten Angriffen durchführen. Schulen Sie Benutzer darin, Phishing-Versuche mit bösartigen Office-Dokumenten zu erkennen, die Risiken der Aktivierung von Bearbeitung oder Makros in nicht vertrauenswürdigen Dokumenten zu verstehen und verdächtige Anhänge dem Sicherheitsteam zu melden. Regelmäßige Phishing-Simulationen tragen dazu bei, das Bewusstsein aufrechtzuerhalten.
Technische Details
CVE-2017-8570 ist eine Remote-Code-Execution-Schwachstelle in Microsoft Office, die die unsachgemäße Verarbeitung von OLE-Objekten (Object Linking and Embedding) während der Dokumentenverarbeitung ausnutzt. Die Schwachstelle zielt speziell auf den Packager-OLE-Mechanismus und die Composite-Moniker-Klasse ab, um Code-Ausführung ohne Makro-Aktivierung zu erreichen.
Der Angriff verwendet typischerweise eine manipulierte PowerPoint-Datei (PPSX/PPTX-Format), die ein Script-Moniker-Objekt einbettet, das auf eine Windows Script Component (SCT) Datei verweist. Wenn das Opfer die Präsentation öffnet, verarbeitet Office das eingebettete OLE-Objekt und der Moniker-Auflösungsmechanismus löst die Ausführung des referenzierten Skripts aus, ohne eine Sicherheitswarnung anzuzeigen oder Benutzerzustimmung über das Öffnen der Datei hinaus zu erfordern. Diese Umgehung der Makro-Sicherheitskontrollen macht die Schwachstelle besonders gefährlich.
Der CVSS-3.1-Vektor (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) klassifiziert den Angriffsvektor als lokal, da das Opfer eine bösartige Datei auf seinem System öffnen muss. Die Angriffskomplexität ist niedrig, da keine zusätzlichen Bedingungen über das Öffnen der Datei hinaus erforderlich sind. Benutzerinteraktion ist erforderlich, aber der Angreifer benötigt keine Privilegien.
Die Grundursache liegt in der mangelhaften Validierung und Einschränkung der OLE-Objekttypen und Moniker-Referenzen, die aus Dokumenten heraus instanziiert werden können. Der Composite-Moniker-Mechanismus ermöglicht die Verkettung von Objektreferenzen auf Weisen, die die Entwickler nicht vorhergesehen haben, wodurch Skript-Ausführung durch scheinbar harmlose Dokumentelemente möglich wird. Microsofts Patch behebt dies durch ordnungsgemäße Validierung von Moniker-Typen und Einschränkung der Ausführung von Script-Komponenten über OLE-Einbettung.
Häufig gestellte Fragen
Was ist CVE-2017-8570?
CVE-2017-8570 ist eine Remote-Code-Execution-Schwachstelle in Microsoft Office 2007, 2010, 2013 und 2016, die es Angreifern ermöglicht, beliebigen Code auszuführen, wenn ein Opfer ein speziell manipuliertes Office-Dokument öffnet. Die Schwachstelle nutzt die unsachgemäße Verarbeitung von OLE-Objekten, insbesondere über den Packager-OLE- und Composite-Moniker-Mechanismus. Anders als makrobasierte Angriffe erfordert dieser Exploit nicht, dass der Benutzer Makros aktiviert, was ihn in Phishing-Kampagnen besonders effektiv macht.
Wie wird CVE-2017-8570 ausgenutzt?
Angreifer erstellen speziell manipulierte Office-Dokumente, typischerweise PowerPoint-Dateien (PPSX/PPTX), die bösartige OLE-Objekte unter Verwendung des Script-Moniker-Mechanismus einbetten. Wenn das Opfer das Dokument öffnet, wird die eingebettete Script-Komponente automatisch ohne Makro-Warnungen ausgeführt. Der Exploit wird häufig über Spear-Phishing-E-Mails mit bösartigen Anhängen verbreitet. Öffentliche Exploit-Generatoren sind auf GitHub verfügbar, was diese Schwachstelle sowohl für erfahrene als auch weniger versierte Bedrohungsakteure zugänglich macht.
Wie schwerwiegend ist CVE-2017-8570?
CVE-2017-8570 ist mit HIGH bewertet (CVSS-3.1-Score 7,8) und hat einen EPSS-Score von 0,94247 in der 99,9. Perzentile, was sie unter die am aktivsten ausgenutzten Schwachstellen im gesamten CVE-Katalog platziert. Sie ist im CISA-KEV-Katalog gelistet und bestätigt weit verbreitete aktive Ausnutzung. Die Kombination aus trivialer Ausnutzbarkeit, öffentlichen Exploit-Tools und effektiver Phishing-Zustellung macht dies zu einer der gefährlichsten Office-Schwachstellen für Unternehmensumgebungen.
Wie schütze ich mich vor CVE-2017-8570?
Installieren Sie das Microsoft-Sicherheitsupdate vom Juli 2017 für alle betroffenen Office-Versionen. Migrieren Sie von End-of-Life-Office-Versionen (2007, 2010) auf aktuell unterstützte Versionen. Stellen Sie sicher, dass die geschützte Ansicht per Gruppenrichtlinie aktiviert ist, um nicht vertrauenswürdige Dokumente in einer Sandbox auszuführen. Setzen Sie E-Mail-Anhangsfilterung und Sandboxing ein, um bösartige Dokumente vor der Zustellung abzufangen. Aktivieren Sie Attack Surface Reduction Regeln in Microsoft Defender, um Office-Anwendungen am Erzeugen von Kindprozessen oder ausführbaren Inhalten zu hindern.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.