CVE-2017-8759
Microsoft .NET Framework Remote Code Execution Vulnerability
Beschreibung
CVE-2017-8759 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle im Microsoft .NET Framework. Die Schwachstelle ermöglicht es einem Angreifer, beliebigen Code aus der Ferne auszuführen, indem ein Benutzer dazu gebracht wird, ein bösartiges Dokument oder eine Anwendung zu öffnen, die eine fehlerhafte Codegenerierung im .NET Framework ausnutzt. Mehrere Versionen des .NET Frameworks sind betroffen, darunter die Versionen 2.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2 und 4.7. Die CISA hat diese Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 93,95 % (99,88. Perzentil) hat CVE-2017-8759 eine nahezu sichere Ausnutzungswahrscheinlichkeit und erfordert sofortige Aufmerksamkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | .net framework | 4.5.2; 3.5.1; 3.5; 2.0; 4.6.1; 4.6; 4.7; 4.6.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/100742(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1039324(Broken Link, Third Party Advisory, VDB Entry)
- https://github.com/GitHubAssessments/CVE_Assessments_01_2020(Third Party Advisory)
- https://github.com/bhdresh/CVE-2017-8759(Exploit, Third Party Advisory)
- https://github.com/nccgroup/CVE-2017-8759(Exploit, Third Party Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8759(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/42711/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-8759(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Codegenerierung ('Code Injection')
Code-Injection-Schwachstellen treten auf, wenn Software ein ganzes oder teilweises Codesegment unter Verwendung extern beeinflusster Eingaben konstruiert, aber spezielle Elemente nicht neutralisiert oder falsch neutralisiert, die die Syntax oder das Verhalten des beabsichtigten Codes verändern könnten. Bei CVE-2017-8759 manifestiert sich diese Schwäche in der Verarbeitung nicht vertrauenswürdiger Eingaben durch das .NET Framework, wobei eine speziell präparierte SOAP-WSDL-Definition während des Parsing-Prozesses beliebigen Code injizieren kann, was zur Remote-Code-Execution führt, wenn ein Benutzer ein bösartiges Dokument öffnet.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2017-8759 hat einen CVSS-3.1-Score von 7,8 (HOCH), was eine erhebliche Sicherheitsbedrohung darstellt. Der Angriffsvektor ist lokal, was bedeutet, dass ein Angreifer ein bösartiges Dokument oder eine Anwendung an das Opfer liefern muss, und eine Benutzerinteraktion zum Öffnen erforderlich ist. Die Angriffskomplexität ist jedoch gering und es werden keine besonderen Privilegien benötigt. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung gewährt dem Angreifer vollständigen Zugriff auf sensible Daten des kompromittierten Systems. Integrität (Hoch): Der Angreifer erhält die Möglichkeit, beliebige Daten zu ändern oder Schadsoftware zu installieren. Verfügbarkeit (Hoch): Eine vollständige Störung der Systemverfügbarkeit ist möglich. Angesichts der nahezu sicheren Ausnutzungswahrscheinlichkeit, die durch den EPSS-Score im 99,88. Perzentil angezeigt wird, sind Organisationen mit betroffenen .NET-Framework-Versionen einem kritischen Risiko ausgesetzt, wenn Patches nicht angewendet werden.
Exploit-Reifegrad
CVE-2017-8759 verfügt über eine ausgereifte Exploit-Landschaft mit mehreren öffentlich verfügbaren Exploits. Öffentlicher Exploit-Code ist verfügbar über GitHub (bhdresh) und GitHub (nccgroup), die sofort einsetzbare Proof-of-Concept-Tools bereitstellen. Die CISA hat die aktive Ausnutzung in freier Wildbahn durch die Aufnahme in den KEV-Katalog bestätigt. Der EPSS-Score von 93,95 % (99,88. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an. Die ursprüngliche Ausnutzung wurde gezielten Angriffskampagnen zugeschrieben, die speziell präparierte Office-Dokumente verwendeten, um die SOAP-WSDL-Parsing-Schwachstelle im .NET Framework auszunutzen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat im September 2017 Sicherheitspatches zur Behebung dieser Schwachstelle veröffentlicht.
- Alle betroffenen .NET-Framework-Installationen auf gepatchte Versionen aktualisieren. Folgende Versionen sind verwundbar und müssen aktualisiert werden: .NET Framework 2.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2 und 4.7.
- Als Zwischenlösung die Möglichkeit einschränken, Dokumente aus nicht vertrauenswürdigen Quellen in Microsoft-Office-Anwendungen zu öffnen, die geschützte Ansicht aktivieren und Makros von nicht vertrauenswürdigen Herausgebern deaktivieren.
- Systeme auf Kompromittierungsindikatoren überwachen, einschließlich ungewöhnlicher .NET-Prozessaktivität, unerwarteter Codeausführung durch Office-Anwendungen und verdächtiger Netzwerkverbindungen von .NET-Runtime-Prozessen.
- Anwendungs-Whitelisting und Code-Signing-Richtlinien implementieren, um unautorisierte Codeausführung über .NET-Framework-Komponenten zu verhindern, und eine gründliche Überprüfung aller Systeme durchführen, die vor dem Patching exponiert gewesen sein könnten.
Technische Details
CVE-2017-8759 nutzt eine Code-Injection-Schwachstelle (CWE-94) im SOAP-WSDL-Parser des Microsoft .NET Frameworks aus. Die Schwachstelle besteht in der Art und Weise, wie das .NET Framework nicht vertrauenswürdige Eingaben beim Parsen von WSDL-Definitionen verarbeitet, wobei eine speziell präparierte SOAP-Antwort beliebigen Code injizieren kann, der während der Codegenerierungsphase ausgeführt wird. Der Angriff wird über ein bösartiges Dokument oder eine Anwendung ausgeliefert, die das .NET Framework dazu veranlasst, den präparierten WSDL-Inhalt zu verarbeiten. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt, dass die Ausnutzung zwar einen lokalen Angriffsvektor erfordert (Dokumentzustellung), die Komplexität jedoch gering ist, keine Privilegien benötigt werden und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch sind.
Häufig gestellte Fragen
Wird CVE-2017-8759 aktiv ausgenutzt?
Ja. CVE-2017-8759 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgeführt, was die aktive Ausnutzung in freier Wildbahn bestätigt. Mehrere öffentliche Exploit-Tools sind auf GitHub verfügbar, und der EPSS-Score von 93,95 % (99,88. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an.
Welche Produkte sind von CVE-2017-8759 betroffen?
CVE-2017-8759 betrifft mehrere Versionen des Microsoft .NET Frameworks, einschließlich der Versionen 2.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2 und 4.7. Jedes System, das diese .NET-Framework-Versionen ausführt, ist potenziell verwundbar.
Wie behebe ich CVE-2017-8759?
Wenden Sie die von Microsoft im September 2017 veröffentlichten Sicherheitspatches für alle betroffenen .NET-Framework-Versionen an. Als Zwischenmaßnahmen beschränken Sie das Öffnen von Dokumenten aus nicht vertrauenswürdigen Quellen, aktivieren Sie die geschützte Ansicht in Office-Anwendungen und überwachen Sie auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2017-8759?
CVE-2017-8759 hat einen CVSS-3.1-Score von 7,8 (HOCH) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der EPSS-Score im 99,88. Perzentil macht dies zu einer der am wahrscheinlichsten ausgenutzten Schwachstellen, die eine sofortige Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.