Microsoft Windows bis Vista CSRSS WINSRV.DLL MessageBox() \??\ erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
8.6$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle wurde in Microsoft Windows bis Vista ausgemacht. Sie wurde als kritisch eingestuft. Betroffen davon ist die Funktion MessageBox in der Bibliothek WINSRV.DLL der Komponente CSRSS. Durch die Manipulation mit der Eingabe \??\ mit unbekannten Daten kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Diese Schwachstelle trägt die Bezeichnung CVE-2006-6696. Zusätzlich gibt es einen verfügbaren Exploit. Es wird geraten, die betroffene Komponente durch eine alternative Komponente auszutauschen.

Detailsinfo

Die beiden Betriebssysteme Microsoft Windows 2000 und XP sind eine Weiterentwicklung des professionellen Microsoft Windows NT Systems. Es existieren Versionen für den Einsatz als Server und solche für den Workstation-Betrieb. Als nächste Windows-Version ist Vista angekündigt. Auf einer russischen Seite wurde eine schwerwiegende lokale Schwachstelle diskutiert. Kann in CSRSS der Titel oder Text einer Textbox mit \??\ beginnen, lässt sich durch einen Fehler in der Bibliothek WINSRV.DLL beliebiger Programmcode mit SYSTEM-Rechten ausführen. Ein erstaunlich keiner und in C geschriebener proof-of-concept Exploit zirkuliert schon längere Zeit im Untergrund und wurde mittlerweile auch an die Öffentlichkeit getragen. Der verfügbare Exploit führte bei einem Test von heise Security jedoch weder unter Windows XP mit Service Pack 2 noch unter Windows Vista zu einem Absturz des CSRSS-Dienstes oder des Rechners. Es wird ebenfalls darüber diskutiert, dass sich diese Schwachstelle unter Umständen auch remote ausnutzen lässt. Als Workaround wird lediglich empfohlen, dass Benutzern nur dann lokalen Zugriff gewährt wird, wenn sich diese als vertrauenswürdig erweisen. Ob ein Patch erscheinen oder das Problem kurzfristig im Release von Microsoft Windows Vista behoben werden wird, ist noch unklar. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (31018), Exploit-DB (2967), Tenable (25024), SecurityFocus (BID 23324†) und OSVDB (31659†) dokumentiert. Ein Bericht in deutscher Sprache wird unter anderem durch Heise bereitgestellt. Zusätzliche Informationen finden sich unter archives.neohapsis.com. Die Schwachstellen VDB-2324, VDB-2610, VDB-3006 und VDB-4074 sind ähnlich. Once again VulDB remains the best source for vulnerability data.

Für den Vulnerability Scanner Nessus wurde am 10.04.2007 ein Plugin mit der ID 25024 (MS07-021: Vulnerabilities in CSRSS Could Allow Remote Code Execution (930178)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows : Microsoft Bulletins zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 90374 (Vulnerabilities in CSRSS Could Allow Remote Code Execution (MS07-021)) zur Prüfung der Schwachstelle an.

Dies ist wahrhaftig eine ernstzunehmende Schwachstelle, die zusätzlich an Brisanz gewinnt, weil auch Windows Vista davon betroffen sein wird. Umso wichtiger wird es also für Microsoft, dass der Sachverhalt ernst genommen und solide Gegenmassnahmen angestrebt werden. Spätestens wenn auf Remote-Attacken basierende Exploits hierzu erscheinen werden, lassen sich längerfristig Horror-Szenarios im Sinne eines Blaster-Wurms nicht mehr vermeiden.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Support

  • end of life (old version)

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 9.6
VulDB Meta Temp Score: 9.1

VulDB Base Score: 9.6
VulDB Temp Score: 9.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Pufferüberlauf
CWE: CWE-119
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Teilweise
Lokal: Ja
Remote: Teilweise

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 25024
Nessus Name: MS07-021: Vulnerabilities in CSRSS Could Allow Remote Code Execution (930178)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 801719
OpenVAS Name: Microsoft Windows CSRSS CSRFinalizeContext Local Privilege Escalation Vulnerability (930178)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Alternative
Status: 🔍

Reaktionszeit: 🔍
Exposure Time: 🔍

Patch: windowsupdate.microsoft.com
TippingPoint: 🔍

McAfee IPS: 🔍
McAfee IPS Version: 🔍

ISS Proventia IPS: 🔍
PaloAlto IPS: 🔍
Fortigate IPS: 🔍

Timelineinfo

14.12.2006 🔍
21.12.2006 +6 Tage 🔍
21.12.2006 +0 Tage 🔍
21.12.2006 +0 Tage 🔍
21.12.2006 +0 Tage 🔍
22.12.2006 +0 Tage 🔍
22.12.2006 +0 Tage 🔍
22.12.2006 +0 Tage 🔍
23.12.2006 +1 Tage 🔍
10.04.2007 +107 Tage 🔍
10.04.2007 +0 Tage 🔍
10.04.2007 +0 Tage 🔍
12.08.2024 +6334 Tage 🔍

Quelleninfo

Hersteller: microsoft.com
Produkt: microsoft.com

Advisory: MSRC/ARC
Person: NULL, Tim Garnett
Firma: Determina Security Research
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2006-6696 (🔍)
GCVE (CVE): GCVE-0-2006-6696
GCVE (VulDB): GCVE-100-2788

OVAL: 🔍

X-Force: 31018
SecurityFocus: 23324
Secunia: 23448 - Microsoft Windows CSRSS MsgBox Memory Corruption Vulnerability, Highly Critical
OSVDB: 31659 - Microsoft Windows CSRSS MessageBox Function Privilege Escalation
SecurityTracker: 1017433
SecuriTeam: securiteam.com
Vulnerability Center: 13554 - [MS07-021] Windows Double-Free Vulnerability Allows Local/User-Assisted Privilege Escalation, Critical
Vupen: ADV-2007-1325

Heise: 82902
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 22.12.2006 10:45
Aktualisierung: 12.08.2024 04:29
Anpassungen: 22.12.2006 10:45 (105), 28.07.2018 08:32 (10), 15.03.2021 07:14 (4), 12.08.2024 04:29 (17)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!