VulDB: Microsoft Internet Explorer bis 9 Title Element Change Deleted Object Pufferüberlauf
Allgemein
scipID: 5537
Betroffen: Microsoft Internet Explorer bis 9
Veröffentlicht: 12.06.2012
Risiko: 
kritisch
Eintrag: 87.6% komplett
Erstellt: 14.06.2012
Aktualisiert: 03.09.2012
Beschreibung
Eine Schwachstelle wurde in Microsoft Internet Explorer bis 9, ein Webbrowser, entdeckt. Sie wurde als kritisch eingestuft. Dies betrifft eine unbekannte Funktion der Komponente Title Element Change Deleted Object. Durch Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 12.06.2012 als MS12-037 in Form eines Bulletins via ZDI (Zero Day Initiative) herausgegeben. Auf microsoft.com kann das Advisory eingesehen werden. Eine Veröffentlichung wurde in Zusammenarbeit mit Microsoft angestrebt. Die Verwundbarkeit wird seit dem 22.03.2012 mit der eindeutigen Identifikation CVE-2012-1877 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein privater Exploit zur Schwachstelle bekannt.
Die Schwachstelle lässt sich durch das Einspielen des Patches MS12-037 lösen. Dieser kann von microsoft.com bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat entsprechend sofort gehandelt. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (82867) und Secunia (SA49412) dokumentiert.CVSS
Base Score: 9.3 (CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C) [?]
| Access Vector | Access Complexity | Authentication | Confidentiality | Integrity | Availability |
|---|---|---|---|---|---|
| Local | High | Multiple | None | None | None |
| Adjacent | Medium | Single | Partial | Partial | Partial |
| Network | Low | None | Complete | Complete | Complete |
CPE
- cpe:/a:microsoft:internet_explorer:9
Exploiting
Klasse: Pufferüberlauf
Lokal: Nein
Remote: Ja
Verfügbarkeit: Ja
Zugang: Privat
Gegenmassnahmen
Empfehlung: Patch
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Patch: MS12-037
Timeline
22.03.2012 | CVE zugewiesen
12.06.2012 | Advisory veröffentlicht
12.06.2012 | Gegenmassnahme veröffentlicht
12.06.2012 | OSVDB Eintrag erstellt
14.06.2012 | VulDB Eintrag erstellt
03.09.2012 | VulDB Eintrag aktualisiert
Quellen
Advisory: MS12-037
Koordiniert: Ja
OSVDB: 82867
CVE: CVE-2012-1877 (mitre.org) (nist.org) (cvedetails.com)
Secunia: 49412
