Microsoft Enhanced Mitigation Experience Toolkit EMET 3.5 Tech Preview/4.0 Beta ASLR Information Disclosure

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.8$0-$5k0.00

Zusammenfassunginfo

In Microsoft Enhanced Mitigation Experience Toolkit EMET 3.5 Tech Preview/4.0 Beta wurde eine problematische Schwachstelle gefunden. Es geht dabei um eine nicht klar definierte Funktion der Komponente ASLR. Durch Manipulieren mit unbekannten Daten kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2013-6791 vorgenommen. Zusätzlich gibt es einen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

Eine Schwachstelle wurde in Microsoft Enhanced Mitigation Experience Toolkit EMET 3.5 Tech Preview/4.0 Beta entdeckt. Sie wurde als problematisch eingestuft. Betroffen davon ist ein unbekannter Codeteil der Komponente ASLR. Durch die Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-200. Auswirkungen hat dies auf Vertraulichkeit und Integrität. Die Zusammenfassung von CVE lautet:

Microsoft Enhanced Mitigation Experience Toolkit (EMET) before 4.0 uses predictable addresses for hooked functions, which makes it easier for context-dependent attackers to defeat the ASLR protection mechanism via a return-oriented programming (ROP) attack.

Die Schwachstelle wurde am 17.06.2013 durch Yu Yang von NSFocus als Microsoft EMET ASLR Mechanism Tampering Vulnerability in Form eines bestätigten Advisories (Website) herausgegeben. Bereitgestellt wird das Advisory unter en.nsfocus.com. Eine Veröffentlichung wurde in Zusammenarbeit mit Microsoft angestrebt. Die Verwundbarkeit wird seit dem 13.11.2013 mit der eindeutigen Identifikation CVE-2013-6791 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1592 aus. Das Advisory weist darauf hin:

Since EMET 3.5 Tech Preview, EMET enhances the protection for ROP via the Hook functions and other methods. But it stores the jump code for Inline Hook in the memory block with fixed address 0x6fff0000. This memory block keeps a number of physical addresses of hooked functions, and the offset is fixed. In other words, EMET provides more easily usable addresses for ROP while hooking system API to defeat ROP. These addresses are always fixed and even independent of impact of ASLR. Attackers can take advantage of these fixed addresses to directly launch ROP attacks without considering ASLR.

Es wurde 3 Tage nach dem Advisory ein Exploit veröffentlicht. Er wird als proof-of-concept gehandelt. Für den Vulnerability Scanner Nessus wurde am 03.12.2013 ein Plugin mit der ID 71176 (Microsoft EMET 3.x >= 3.5 / 4.x < 4.0.4913.26122 ASLR Security Bypass) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 121615 (Microsoft EMET ASLR Mechanism Bypass Vulnerability) zur Prüfung der Schwachstelle an.

Ein Aktualisieren auf die Version 4.0 vermag dieses Problem zu lösen. Eine neue Version kann von microsoft.com bezogen werden.

Unter anderem wird der Fehler auch in den Datenbanken von Tenable (71176), SecurityFocus (BID 64022†), OSVDB (100398†) und Vulnerability Center (SBV-42459†) dokumentiert. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 4.8

VulDB Base Score: 5.3
VulDB Temp Score: 4.8
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Information Disclosure
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 71176
Nessus Name: Microsoft EMET 3.x >= 3.5 / 4.x < 4.0.4913.26122 ASLR Security Bypass
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍
Exploit Delay Time: 🔍

Upgrade: Enhanced Mitigation Experience Toolkit EMET 4.0

Timelineinfo

17.06.2013 🔍
17.06.2013 +0 Tage 🔍
20.06.2013 +3 Tage 🔍
13.11.2013 +146 Tage 🔍
29.11.2013 +16 Tage 🔍
29.11.2013 +0 Tage 🔍
03.12.2013 +4 Tage 🔍
03.12.2013 +0 Tage 🔍
04.12.2013 +1 Tage 🔍
23.12.2024 +4037 Tage 🔍

Quelleninfo

Hersteller: microsoft.com

Advisory: Microsoft EMET ASLR Mechanism Tampering Vulnerability
Person: Yu Yang
Firma: NSFocus
Status: Bestätigt
Bestätigung: 🔍
Koordiniert: 🔍

CVE: CVE-2013-6791 (🔍)
GCVE (CVE): GCVE-0-2013-6791
GCVE (VulDB): GCVE-100-11333
SecurityFocus: 64022 - Microsoft Enhanced Mitigation Experience Toolkit Hooked Functions Security Bypass Vulnerability
OSVDB: 100398
SecurityTracker: 1029411
Vulnerability Center: 42459 - Microsoft EMET before 4.0 Remote Security Bypass Vulnerability via Hooked Functions, Medium

scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 03.12.2013 08:46
Aktualisierung: 23.12.2024 04:02
Anpassungen: 03.12.2013 08:46 (74), 16.05.2017 04:39 (2), 02.06.2021 15:03 (3), 02.06.2021 15:07 (1), 23.12.2024 04:02 (17)
Komplett: 🔍
Editor:
Cache ID: 216:335:103

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!