Microsoft Office 2007/2010/2011/2013 XML Parser Nested Entities Denial of Service

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.7$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle, die als problematisch eingestuft wurde, wurde in Microsoft Office 2007/2010/2011/2013 gefunden. Es geht um eine nicht näher bekannte Funktion der Komponente XML Parser. Mittels Manipulieren durch Nested Entities kann eine Denial of Service-Schwachstelle ausgenutzt werden. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2014-2730 vorgenommen. Es gibt keinen verfügbaren Exploit.

Detailsinfo

Es wurde eine Schwachstelle in Microsoft Office 2007/2010/2011/2013 (Office Suite Software) entdeckt. Sie wurde als problematisch eingestuft. Dabei betrifft es ein unbekannter Codeteil der Komponente XML Parser. Mittels Manipulieren durch Nested Entities kann eine Denial of Service-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-399 vorgenommen. Die Auswirkungen sind bekannt für die Verfügbarkeit. Die Zusammenfassung von CVE lautet:

The XML parser in Microsoft Office 2007 SP3, 2010 SP1 and SP2, and 2013, and Office for Mac 2011, does not properly detect recursion during entity expansion, which allows remote attackers to cause a denial of service (memory consumption and persistent application hang) via a crafted XML document containing a large number of nested entity references, as demonstrated by a crafted text/plain e-mail message to Outlook, a similar issue to CVE-2003-1564.

Am 30.01.2007 wurde der Fehler eingeführt. Die Schwachstelle wurde am 08.04.2014 durch Lubomir Stroetmann von softScheck GmbH in Form eines bestätigten Postings (Bugtraq) publiziert. Das Advisory findet sich auf securityfocus.com. Die Identifikation der Schwachstelle wird seit dem 05.04.2014 mit CVE-2014-2730 vorgenommen. Die Ausnutzbarkeit gilt als leicht. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden.

Vor einer Veröffentlichung handelte es sich 2622 Tage um eine Zero-Day Schwachstelle. Während dieser Zeit erzielte er wohl etwa $5k-$25k auf dem Schwarzmarkt.

Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Es wurde nachweislich sofort gehandelt. Das Advisory stellt fest:

softScheck reported the vulnerability to Microsoft. Microsoft confirmed the issue, however, it does not meet their definition of a security vulnerability. Microsoft promises to address the issue in a future version of Outlook. Effective protection against the vulnerability can be achieved by adding a rule blocking XML DTD Entities ("<!ENTITY", case-insensitive) to your spam filter. Creating an Outlook rule to permanently delete messages containing "<!ENTITY" also mitigates the attack.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (93948), SecurityTracker (ID 1030024†) und Vulnerability Center (SBV-43913†) dokumentiert. Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 4.7

VulDB Base Score: 5.3
VulDB Temp Score: 4.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Denial of Service
CWE: CWE-399 / CWE-404
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Unbewiesen

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Timelineinfo

30.01.2007 🔍
26.02.2014 +2584 Tage 🔍
05.04.2014 +38 Tage 🔍
05.04.2014 +0 Tage 🔍
05.04.2014 +0 Tage 🔍
07.04.2014 +2 Tage 🔍
07.04.2014 +0 Tage 🔍
08.04.2014 +1 Tage 🔍
08.04.2014 +0 Tage 🔍
09.04.2014 +1 Tage 🔍
24.05.2017 +1141 Tage 🔍

Quelleninfo

Hersteller: microsoft.com

Advisory: securityfocus.com⛔
Person: Lubomir Stroetmann
Firma: softScheck GmbH
Status: Bestätigt

CVE: CVE-2014-2730 (🔍)
GCVE (CVE): GCVE-0-2014-2730
GCVE (VulDB): GCVE-100-12843
X-Force: 93948 - Microsoft Office XML parser denial of service, Medium Risk
SecurityTracker: 1030024 - Microsoft Office XML Parser Entity Expansion Flaw Lets Remote Users Deny Service
Vulnerability Center: 43913 - Microsoft Office 2007 SP3, 2010 SP1 SP2, 2013 Remote DoS Vulnerability via Crafted XML Document, Medium

Eintraginfo

Erstellt: 09.04.2014 13:04
Aktualisierung: 24.05.2017 11:28
Anpassungen: 09.04.2014 13:04 (50), 24.05.2017 11:28 (23)
Komplett: 🔍
Cache ID: 216::103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!