Internet Explorer zero-day sérülékenység

Internet Explorer zero-day sérülékenység
Angol cím: Internet Explorer zero-day vulnerability

CH azonosító: CH-14761
Publikálás dátuma: 2020.01.20.
Utolsó módosítás dátuma: 2020.01.20.


Leírás

A CVE-2020-0674 számon az Internet Explorer webböngészőt érintő magas kockázati besorolású sérülékenység vált ismertté, melyet kihasználva a távoli hozzáféréssel rendelkező támadó tetszőleges parancsokat futtathat az aktuális felhasználóval összefüggésben, érzékeny információkhoz férhet hozzá, programokat törölhet és telepíthet, illetve új felhasználói profilt is létrehozhat.

Leírás forrása: Gyártói referencia: portal.msrc.microsoft.com Leírás utolsó módosítása: 2020.01.20.


Elemzés leírás

A hiba a Microsoft Internet Explorer nem megfelelő memóriakezeléséből ered. A sérülékenységet kihasználva a távoli támadó memóriahibát generálhat, melynek folyományaként tetszőleges parancsokat futtathat az aktuális felhasználóval összefüggésben. Ha az érintett felhasználó rendszergazdai jogosultsággal rendelkezik az adott eszközön, úgy a támadó átveheti a rendszer feletti teljes irányítást is, azaz érzékeny információkhoz férhet hozzá, programokat törölhet és telepíthet, illetve új felhasználói profilt is létrehozhat.

Web alapú támadás esetén a támadónak  létre kell hoznia egy speciálisan kialakított weboldalt, amely megnyitásával lehetőség nyílhat a sérülékenység kihasználására.

Érintett verziók: Microsoft Internet Explorer 9, 10, 11

A sérülékenységet aktívan kihasználják, javítás jelenleg nem elérhető.

A gyártó javaslatai:

  • A sikeres támadás hatásainak csökkentése érdekében az összes szoftvert nem privilegizált felhasználóként futtassa.
  • Soha ne keressen fel megbízhatatlan webhelyeket, ne kattintson ismeretlen, vagy nem megbízható forrásokból származó linkekre.
  • Alkalmazza a “legkisebb kiváltság” elvét.
Elemzés leírás forrása: Gyártói referencia: portal.msrc.microsoft.com Elemzés leírás utolsó módosítása: 2020.01.20.


Hatás

CVSS3 Súlyosság és Metrika

Alap pontszám: 7.5 (Magas)
Vektor: AV:N/AC:L/Au:N/C:P/I:P/A:P
Hatás pontszáma:
Kihasználhatóság pontszáma:


Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Bizalmasság Hatása (C): Rész
Sértetlenség Hatása (I): Rész
Rendelkezésre állás Hatása (A): Rész


Hivatkozások

Gyártói referencia: portal.msrc.microsoft.com
Egyéb referencia: www.kb.cert.org
Egyéb referencia: meterpreter.org
Egyéb referencia: www.grahamcluley.com
Egyéb referencia: securityaffairs.co
Egyéb referencia: www.reddit.com


Legfrissebb sérülékenységek
CVE-2022-44580 – RichPlugins Plugin For Google Reviews for WordPress sérülékenysége
CVE-2023-23421 – Microsoft Windows sérülékenysége
CVE-2023-23422 – Microsoft Windows sérülékenysége
CVE-2023-23420 – Microsoft Windows sérülékenysége
CVE-2023-23423 – Microsoft Windows sérülékenysége
CVE-2022-39214 – Combodo iTop (aka IT Operations Portal) sérülékenysége
CVE-2022-39216 – Combodo iTop (aka IT Operations Portal), Combodo iTop (aka IT Operations Portal) Community Edition sérülékenysége
CVE-2023-27501 – sap / netweaver application server abap, SAP NetWeaver Application Server ABAP sérülékenysége
CVE-2023-26360 – Adobe ColdFusion Improper Access Control sérülékenysége
CVE-2023-23397 – Microsoft Office Outlook sérülékenysége
Tovább a sérülékenységekhez »