Microsoft Office 2007/2010/2013/2016 RTF Document Necurs Dridex escalationi di privilegi

CVSS Punteggio meta temporaneoPrezzo attuale dell'exploit (≈)Punteggio di interesse CTI
6.9$0-$5k0.00

Riassuntoinformazioni

Un punto di criticita di livello estremamente critico è stato rilevato in Microsoft Office 2007/2010/2013/2016. Riguarda una funzione sconosciuta del componente RTF Document Handler. L’alterazione causa escalationi di privilegi (Necurs Dridex). Questo punto di criticità è identificato come CVE-2017-0199. Dalla rete può partire l'attacco. Inoltre, è presente un exploit disponibile. La vulnerabilità risulta storicamente interessante per come è stata sviluppata. Un worm sta sfruttando automaticamente questa vulnerabilità per diffondersi. Si suggerisce di installare una patch per risolvere questa problematica.

Dettagliinformazioni

In Microsoft Office 2007/2010/2013/2016 (Office Suite Software) stata rilevata una vulnerabilità di livello estremamente critico. Interessato da questa vulnerabilità è una funzione sconosciuta del componente RTF Document Handler. Per causa della manipolazione di un input sconosciuto conseguenza di una vulerabilità di classe escalationi di privilegi. Questo ha effetti su riservatezza, integrità e disponibilità.

Data di scoperta del problema 11/04/2017. La vulnerabilità è stata pubblicata in data 07/04/2017 da Haifei Li (SecuriTeam) da McAfee con identificazione Critical Office Zero-Day Attacks Detected in the Wild con un article (Website) (confermato). L'advisory è scaricabile da securingtomorrow.mcafee.com. La pubblicazione non è stata coordinata con il produttore. CVE-2017-0199 è identificato come punto debole. La vulnerabilità è molto apprezzata, anche se ha un'altissima complessità. L'attacco può essere lanciato da remoto. Nessuna autentificazione è richiesta per l'uso. Non sono conosciuti dettagli tecnici ma un pubblico metodo di utilizzo è disponibile. Storicamente interessante risulta lo sviluppo di questa vulerabilita.

Un metodo di utilizzo è stato sviluppato in Python ed è stata pubblicata 3 settimane dopo il comunicato. L'exploit è scaricabile da exploit-db.com. È stato dichiarato come attaccato. Per almeno 188 giorni, questa vulnerabilità è stata classificata come 0-day exploit. Si sta diffondendo un worm che sfrutta automaticamente la vulnerabilità. Un plugin è disponibile per lo scanner Nessus, numero ID 99285 (Windows Server 2012 April 2017 Security Updates (Petya)), che può aiutare a determinare l'esistenza della criticità nel sistema analizzato. Il codice utilizzato dal exploit è:

ministream_data << "01000002090000000100000000000000" # 00000000: ................
ministream_data << "0000000000000000a4000000e0c9ea79" # 00000010: ...............y
ministream_data << "f9bace118c8200aa004ba90b8c000000" # 00000020: .........K......
ministream_data << generate_uri
ministream_data << "00000000795881f43b1d7f48af2c825d" # 000000a0: ....yX..;..H.,.]
ministream_data << "c485276300000000a5ab0000ffffffff" # 000000b0: ..'c............
ministream_data << "0609020000000000c000000000000046" # 000000c0: ...............F
ministream_data << "00000000ffffffff0000000000000000" # 000000d0: ................
ministream_data << "906660a637b5d2010000000000000000" # 000000e0: .f`.7...........
ministream_data << "00000000000000000000000000000000" # 000000f0: ................
ministream_data << "100203000d0000000000000000000000" # 00000100: ................
ministream_data << "00000000000000000000000000000000" # 00000110: ................
ministream_data << "00000000000000000000000000000000" # 00000120: ................
ministream_data << "00000000000000000000000000000000" # 00000130: ................
ministream_data << "00000000000000000000000000000000" # 00000140: ................
ministream_data << "00000000000000000000000000000000" # 00000150: ................
ministream_data << "00000000000000000000000000000000" # 00000160: ................
ministream_data << "00000000000000000000000000000000" # 00000170: ................
ministream_data << "00000000000000000000000000000000" # 00000180: ................
ministream_data << "00000000000000000000000000000000" # 00000190: ................
ministream_data << "00000000000000000000000000000000" # 000001a0: ................
ministream_data << "00000000000000000000000000000000" # 000001b0: ................
ministream_data << "00000000000000000000000000000000" # 000001c0: ................
ministream_data << "00000000000000000000000000000000" # 000001d0: ................
ministream_data << "00000000000000000000000000000000" # 000001e0: ................
ministream_data << "00000000000000000000000000000000" # 000001f0: ................

Applicando a patch è possibile eliminare il problema. Il bugfix è scaricabile da portal.msrc.microsoft.com. Una possibile soluzione è stata pubblicata 4 giorni dopo la pubblicazione della vulnerabilità.

La vulnerabilità è documentata anche nel database Exploit-DB (41934), Zero-Day.cz (444), Tenable (99285), SecurityFocus (BID 97498†) e SecurityTracker (ID 1038224†). If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Componente colpito

  • Microsoft Office 2007/2010/2013/2016
  • Microsoft Wordpad

Prodottoinformazioni

Genere

Fornitore

Nome

Versione

Licenza

Sito web

CPE 2.3informazioni

CPE 2.2informazioni

Screenshot

Video

Apri il video | Mostra altri video

CVSSv4informazioni

VulDB Vettore: 🔍
VulDB Affidabilità: 🔍

CVSSv3informazioni

VulDB Punteggio meta-base: 7.0
VulDB Punteggio meta temporaneo: 6.9

VulDB Punteggio di base: 6.3
VulDB Punteggio temporaneo: 6.0
VulDB Vettore: 🔍
VulDB Affidabilità: 🔍

NVD Punteggio di base: 7.8
NVD Vettore: 🔍

CVSSv2informazioni

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VettoreComplessitàAutenticazioneRiservatezzaIntegritàDisponibilità
SbloccareSbloccareSbloccareSbloccareSbloccareSbloccare
SbloccareSbloccareSbloccareSbloccareSbloccareSbloccare
SbloccareSbloccareSbloccareSbloccareSbloccareSbloccare

VulDB Punteggio di base: 🔍
VulDB Punteggio temporaneo: 🔍
VulDB Affidabilità: 🔍

NVD Punteggio di base: 🔍

Sfruttamentoinformazioni

Nome: Necurs Dridex
Classe: Escalationi di privilegi / Necurs Dridex
CWE: CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Fisico: Parzialmente
Locale: Si
Remoto: Si

Disponibilità: 🔍
Accesso: Pubblico
Stato: Attaccato
Wormified: 🔍
Affidabilità: 🔍
Linguaggio di programmazione: 🔍
Scaricare: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

KEV Aggiunto: 🔍
KEV Entro quando: 🔍
KEV Contromisure: 🔍
KEV Ransomware: 🔍
KEV Avviso: 🔍

Previsione dei prezzi: 🔍
Preventivo attuale: 🔍

0-DaySbloccareSbloccareSbloccareSbloccare
OggiSbloccareSbloccareSbloccareSbloccare

Nessus ID: 99285
Nessus Nome: Windows Server 2012 April 2017 Security Updates (Petya)
Nessus File: 🔍
Nessus Rischio: 🔍
Nessus Famiglia: 🔍
Nessus Context: 🔍

OpenVAS ID: 800218
OpenVAS Nome: Microsoft Windows Monthly Rollup (KB4015551)
OpenVAS File: 🔍
OpenVAS Famiglia: 🔍

Saint ID: microsoft_word_wordpad_rtf
Saint Nome: Microsoft Word and WordPad RTF HTA handler command execution

Qualys ID: 🔍
Qualys Nome: 🔍

MetaSploit ID: office_word_hta.rb
MetaSploit Nome: Microsoft Office Word Malicious Hta Execution
MetaSploit File: 🔍

Exploit-DB: 🔍
Zero-Day.cz: 🔍

Intelligence sulle minacceinformazioni

Interesse: 🔍
Attori attivi: 🔍
Gruppi APT attivi: 🔍

Contromisureinformazioni

Raccomandazione: Patch
Stato: 🔍

Tempo di reazione: 🔍
Tempo 0 giorni: 🔍
Tempo di esposizione: 🔍
Tempo di ritardo sfruttamento: 🔍

Patch: portal.msrc.microsoft.com
Suricata ID: 2024224
Suricata Classe: 🔍
Suricata Messaggio: 🔍

Sequenza temporaleinformazioni

09/09/2016 🔍
01/10/2016 +22 giorni 🔍
07/04/2017 +188 giorni 🔍
07/04/2017 +0 giorni 🔍
11/04/2017 +4 giorni 🔍
11/04/2017 +0 giorni 🔍
11/04/2017 +0 giorni 🔍
11/04/2017 +0 giorni 🔍
11/04/2017 +0 giorni 🔍
12/04/2017 +1 giorni 🔍
25/04/2017 +13 giorni 🔍
25/04/2017 +0 giorni 🔍
09/09/2024 +2694 giorni 🔍

Fontiinformazioni

Fornitore: microsoft.com

Avis: Critical Office Zero-Day Attacks Detected in the Wild
Ricercatore: Haifei Li (SecuriTeam)
Organizzazione: McAfee
Stato: Confermato
Conferma: 🔍

CVE: CVE-2017-0199 (🔍)
GCVE (CVE): GCVE-0-2017-0199
GCVE (VulDB): GCVE-100-99533

OVAL: 🔍

SecurityFocus: 97498 - Microsoft Office OLE Feature Remote Code Execution Vulnerability
SecurityTracker: 1038224

scip Labs: https://www.scip.ch/en/?labs.20161013
Varie: 🔍
Vedi anche: 🔍

Voceinformazioni

Data di creazione: 11/04/2017 09:31
Aggiornato: 09/09/2024 22:29
Cambiamenti: 11/04/2017 09:31 (124), 21/10/2019 18:16 (2), 28/11/2022 08:52 (4), 19/04/2024 07:13 (22), 06/07/2024 08:25 (2), 24/07/2024 21:16 (1), 09/09/2024 22:29 (2)
Completa: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Discussione

Ancora nessun commento. Lingue: it + ro + en.

Effettua il login per commentare.

◂ PrecedenteVisione D'ensembleIl prossimo ▸

Might our Artificial Intelligence support you?

Check our Alexa App!