Internet Explorer zero-day sérülékenység

Internet Explorer zero-day sérülékenység
Angol cím: Internet Explorer zero-day vulnerability

CH azonosító: CH-14761
Publikálás dátuma: 2020.01.20.
Utolsó módosítás dátuma: 2020.01.20.


Leírás

A CVE-2020-0674 számon az Internet Explorer webböngészőt érintő magas kockázati besorolású sérülékenység vált ismertté, melyet kihasználva a távoli hozzáféréssel rendelkező támadó tetszőleges parancsokat futtathat az aktuális felhasználóval összefüggésben, érzékeny információkhoz férhet hozzá, programokat törölhet és telepíthet, illetve új felhasználói profilt is létrehozhat.

Leírás forrása: Gyártói referencia: portal.msrc.microsoft.com Leírás utolsó módosítása: 2020.01.20.


Elemzés leírás

A hiba a Microsoft Internet Explorer nem megfelelő memóriakezeléséből ered. A sérülékenységet kihasználva a távoli támadó memóriahibát generálhat, melynek folyományaként tetszőleges parancsokat futtathat az aktuális felhasználóval összefüggésben. Ha az érintett felhasználó rendszergazdai jogosultsággal rendelkezik az adott eszközön, úgy a támadó átveheti a rendszer feletti teljes irányítást is, azaz érzékeny információkhoz férhet hozzá, programokat törölhet és telepíthet, illetve új felhasználói profilt is létrehozhat.

Web alapú támadás esetén a támadónak  létre kell hoznia egy speciálisan kialakított weboldalt, amely megnyitásával lehetőség nyílhat a sérülékenység kihasználására.

Érintett verziók: Microsoft Internet Explorer 9, 10, 11

A sérülékenységet aktívan kihasználják, javítás jelenleg nem elérhető.

A gyártó javaslatai:

  • A sikeres támadás hatásainak csökkentése érdekében az összes szoftvert nem privilegizált felhasználóként futtassa.
  • Soha ne keressen fel megbízhatatlan webhelyeket, ne kattintson ismeretlen, vagy nem megbízható forrásokból származó linkekre.
  • Alkalmazza a “legkisebb kiváltság” elvét.
Elemzés leírás forrása: Gyártói referencia: portal.msrc.microsoft.com Elemzés leírás utolsó módosítása: 2020.01.20.


Hatás

CVSS3 Súlyosság és Metrika

Alap pontszám: 7.5 (Magas)
Vektor: AV:N/AC:L/Au:N/C:P/I:P/A:P
Hatás pontszáma:
Kihasználhatóság pontszáma:


Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Bizalmasság Hatása (C): Rész
Sértetlenség Hatása (I): Rész
Rendelkezésre állás Hatása (A): Rész

Hivatkozások

Gyártói referencia: portal.msrc.microsoft.com
Egyéb referencia: www.kb.cert.org
Egyéb referencia: meterpreter.org
Egyéb referencia: www.grahamcluley.com
Egyéb referencia: securityaffairs.co
Egyéb referencia: www.reddit.com


Legfrissebb sérülékenységek
CVE-2023-4863 – Google Chrome sérülékenysége
CVE-2023-40186 – FreeRDP sérülékenysége
CVE-2023-20890 – VMware Aria Operations For Networks sérülékenysége
CVE-2023-34039 – VMware Aria Operations for Networks sérülékenysége
CVE-2023-23770 – Motorola MBTS Site Controller sérülékenysége
CVE-2023-38388 – JupiterX Core Premium WordPress Plugin sérülékenysége
CVE-2023-38831 – RARLabs WinRAR sérülékenysége
CVE-2023-38035 – Ivanti Sentry sérülékenysége
CVE-2023-20212 – ClamAV sérülékenysége
CVE-2023-36847 – Juniper Networks Junos OS sérülékenysége
Tovább a sérülékenységekhez »