Microsoft Internet Explorer bis 6 HTTP JavaScript execCommand() Dateiendung vortäuschen

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.1$0-$5k0.00

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in Microsoft Internet Explorer bis 6 ausgemacht. Hiervon betroffen ist die Funktion execCommand der Komponente JavaScript. Mit der Manipulation mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2004-1331 gehandelt. Ein Angriff ist aus der Distanz möglich. Es ist kein Exploit verfügbar. Es wird empfohlen, einen Patch anzuwenden, um dieses Problem zu beheben.

Detailsinfo

Der Microsoft Internet Explorer (MS IEX) ist der am meisten verbreitete Webbrowser und fester Bestandteil moderner Windows-Betriebssysteme. cyber flash publizierte zeitgleich zwei mittelschwere Schwachstellen im Microsoft Internet Explorer bis 6, die sich dazu nutzen lassen, um die neuen Sicherheits-Features des Service Pack 2 für Microsoft Windows XP zu umgehen. Eine davon betrifft die JavaScript-Funktion execCommand(), mit der Dateiendungen vorgetäuscht werden können. Als Workaround wird empfohlen, den Download ausführbarer Dateien aus dem Internet zu verhindern (beispielsweise mittels Firewalling auf bekannte Dateierweiterungen). Zudem gilt es Active Scripting zu deaktivieren. Microsoft wird voraussichtlich mit einem Patch für das Problem reagieren. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (18181), SecurityFocus (BID 11686†) und Secunia (SA13203†) dokumentiert. Heise diskutiert den Sachverhalt in deutscher Sprache. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-994. Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Der Microsoft Internet Explorer ist einmal mehr unter heftigem Beschuss. Gleich mehrere nicht unkritische Schwachstellen haben den Weg in die Öffentlichkeit gefunden. Dies ist beste Werbung für den jüngst in der Version 1.0 erschienenen Webbrowser Mozilla Firefox. Der Internet Explorer ist somit zunehmends auf dem absteigenden Ast, was Microsoft sich selber zuzuschreiben hat.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Support

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 4.3
VulDB Meta Temp Score: 4.1

VulDB Base Score: 4.3
VulDB Temp Score: 4.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-269 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Patch
Status: 🔍
Patch: windowsupdate.microsoft.com

Timelineinfo

16.11.2004 🔍
16.11.2004 +0 Tage 🔍
17.11.2004 +1 Tage 🔍
18.11.2004 +1 Tage 🔍
06.01.2005 +49 Tage 🔍
21.11.2024 +7259 Tage 🔍

Quelleninfo

Hersteller: microsoft.com

Advisory: archives.neohapsis.com
Person: cyber flash
Status: Bestätigt

CVE: CVE-2004-1331 (🔍)
GCVE (CVE): GCVE-0-2004-1331
GCVE (VulDB): GCVE-100-995
CERT: 🔍
X-Force: 18181 - Microsoft Internet Explorer execCommand bypass download warnings
SecurityFocus: 11686 - Microsoft Internet Explorer File Download Security Warning Bypass Vulnerability
Secunia: 13203 - Microsoft Internet Explorer Two Vulnerabilities, Moderately Critical

Heise: 53382
Siehe auch: 🔍

Eintraginfo

Erstellt: 18.11.2004 13:17
Aktualisierung: 21.11.2024 08:55
Anpassungen: 18.11.2004 13:17 (67), 07.06.2017 16:04 (5), 21.11.2024 08:55 (18)
Komplett: 🔍
Cache ID: 216:CA5:103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!