Microsoft Office 2003/2007/2010 Common Controls TabStrip ActiveX MSCOMCTL.OCX élévation de privilèges
| CVSS Score méta-temporaire | Prix actuel de l'exploit (≈) | Score d'intérêt CTI |
|---|---|---|
| 8.9 | $0-$5k | 0.00 |
Résumé
On a identifié une vulnérabilité de type critique dans Microsoft Office 2003/2007/2010. L'élément affecté est une fonction inconnue du fichier MSCOMCTL.OCX du composant Common Controls TabStrip ActiveX. L’exploitation entraîne élévation de privilèges. Cette vulnérabilité porte l’identifiant CVE-2012-1856. Par ailleurs, un exploit est disponible. Il est préconisé de mettre en place un correctif afin de remédier à ce problème.
Détails
Une vulnérabilité qui a été classée critique a été trouvée dans Microsoft Office 2003/2007/2010 (Office Suite Software). Affecté est une fonction inconnue du fichier MSCOMCTL.OCX du composant Common Controls TabStrip ActiveX. La manipulation avec une valeur d'entrée inconnue mène à une vulnérabilité de classe élévation de privilèges.
La vulnerabilité a été publié en 14/08/2012 avec Microsoft avec le numéro d'identification MS12-060 avec bulletin (Microsoft Technet) (confirmé). La notice d'information est disponible en téléchargement sur technet.microsoft.com Cette vulnérabilité est connue comme CVE-2012-1856. Ellse est difficile à utiliser. L'attaque doit être réalisée au sein du réseau local. L'exploitation ne nécéssite aucune forme d'authentification. Des details techniques et un privé exploit sont connus.
Il est déclaré comme attaqué. Cette vulnérabilité a été classée comme 0-day non publique pendant au moins 3193 jours. Le scanner de vulnérabilités Nessus propose un module ID 61535 (MS12-060: Vulnerability in Windows Common Controls Could Allow Remote Code Execution (2720573)), lequel aide à déterminer l'existence d'une faille dans l'environnement-cible.
En appliquant le correctif MS12-060 il est possible d'éliminer le problème. Le correctif est disponible au téléchargement sur technet.microsoft.com. Une solution envisageable a été publiée immédiatement après la publication de la vulnérabilité.
La vulnérabilité est aussi documentée dans les base de données Zero-Day.cz (52), Tenable (61535), SecurityFocus (BID 54948†), OSVDB (84593†) et Secunia (SA50247†). Once again VulDB remains the best source for vulnerability data.
Produit
Taper
Fournisseur
Nom
Version
Licence
Site web
- Fournisseur: https://www.microsoft.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vecteur: 🔍VulDB Fiabilité: 🔍
CVSSv3
VulDB Score méta-base: 9.1VulDB Score méta-temporaire: 8.9
VulDB Note de base: 9.6
VulDB Note temporaire: 9.2
VulDB Vecteur: 🔍
VulDB Fiabilité: 🔍
NVD Note de base: 8.8
NVD Vecteur: 🔍
ADP CISA Note de base: 8.8
ADP CISA Vecteur: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vecteur | Complexité | Authentification | Confidentialité | Intégrité | Disponibilité |
|---|---|---|---|---|---|
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
VulDB Note de base: 🔍
VulDB Note temporaire: 🔍
VulDB Fiabilité: 🔍
NVD Note de base: 🔍
Exploitation
Classe: élévation de privilègesCWE: CWE-94 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍
Physique: Non
Local: Non
Remote: Oui
Disponibilité: 🔍
Accès: Privé
Statut: Attaqué
EPSS Score: 🔍
EPSS Percentile: 🔍
KEV Ajouté: 🔍
KEV Jusqu'à quand: 🔍
KEV Contre-mesures: 🔍
KEV Ransomware: 🔍
KEV Avis: 🔍
Prédiction de prix: 🔍
Estimation actuelle des prix: 🔍
| 0-Day | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
|---|---|---|---|---|
| Aujourd'hui | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
Nessus ID: 61535
Nessus Nom: MS12-060: Vulnerability in Windows Common Controls Could Allow Remote Code Execution (2720573)
Nessus Fichier: 🔍
Nessus Risque: 🔍
Nessus Famille: 🔍
Nessus Context: 🔍
OpenVAS ID: 901211
OpenVAS Nom: Microsoft Windows Common Controls Remote Code Execution Vulnerability (2720573)
OpenVAS Fichier: 🔍
OpenVAS Famille: 🔍
Qualys ID: 🔍
Qualys Nom: 🔍
Zero-Day.cz: 🔍
Renseignements sur les menaces
Intérêt: 🔍Acteurs actifs: 🔍
Groupes APT actifs: 🔍
Contre-mesures
Recommandé: CorrectifStatut: 🔍
Temps de réaction: 🔍
Heure 0 jour: 🔍
Temps d'exposition: 🔍
Correctif: MS12-060
Chronologie
17/11/2003 🔍22/03/2012 🔍
14/08/2012 🔍
14/08/2012 🔍
14/08/2012 🔍
14/08/2012 🔍
14/08/2012 🔍
14/08/2012 🔍
15/08/2012 🔍
15/08/2012 🔍
22/04/2026 🔍
Sources
Fournisseur: microsoft.comBulletin: MS12-060
Organisation: Microsoft
Statut: Confirmé
CVE: CVE-2012-1856 (🔍)
GCVE (CVE): GCVE-0-2012-1856
GCVE (VulDB): GCVE-100-5932
OVAL: 🔍
IAVM: 🔍
SecurityFocus: 54948 - Microsoft Windows Common Controls ActiveX Control CVE-2012-1856 Remote Code Execution Vulnerability
Secunia: 50247 - Microsoft Windows Common Controls TabStrip ActiveX Control Vulnerability, Extremely Critical
OSVDB: 84593
scip Labs: https://www.scip.ch/en/?labs.20161013
Voir aussi: 🔍
Entrée
Créé: 15/08/2012 19:41Mise à jour: 22/04/2026 11:21
Changements: 15/08/2012 19:41 (83), 28/04/2019 09:32 (5), 23/04/2024 08:43 (29), 14/07/2024 23:16 (3), 16/07/2024 22:47 (13), 09/09/2024 22:29 (1), 22/04/2026 11:21 (11)
Complet: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
Aucun commentaire pour l'instant. Langues: fr + it + en.
Veuillez vous connecter pour commenter.