📚 Microsoft Word/SharePoint Enterprise Server 2016 Document erweiterte Rechte

🕛 Zeit seit Veröffentlichung: 2656 Tage, 21 Stunden 45 Minuten
📆 Veröffentlicht am: 10.01.2017 um 01:00 Uhr
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com

In Microsoft Word sowie SharePoint Enterprise Server 2016 wurde eine Schwachstelle gefunden. Sie wurde als kritisch eingestuft. Es geht um eine unbekannte Funktion der Komponente Document Handler. Durch Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 10.01.2017 als MS17-002 in Form eines bestätigten Bulletins (Technet) öffentlich gemacht. Bereitgestellt wird das Advisory unter technet.microsoft.com. Die Verwundbarkeit wird als CVE-2017-0003 geführt. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Ein Exploit zur Schwachstelle wird momentan etwa USD $0-$5k kosten.

Die Schwachstelle lässt sich durch das Einspielen des Patches MS17-002 lösen. Dieser kann von technet.microsoft.com bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat demnach sofort gehandelt.

CVSSv3

Base Score: 6.3 [?]
Temp Score: 6.0 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L/E:X/RL:O/RC:C [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P) [?]
Temp Score: 5.9 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:microsoft:word:2016
• cpe:/a:microsoft:sharepoint_enterprise_server:2016

Exploiting

Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Patch
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt

Patch: MS17-002

Timeline

10.01.2017 Advisory veröffentlicht
10.01.2017 Gegenmassnahme veröffentlicht
11.01.2017 VulDB Eintrag erstellt
11.01.2017 VulDB letzte Aktualisierung

Quellen

Advisory: MS17-002
Status: Bestätigt

CVE: CVE-2017-0003 (mitre.org) (nvd.nist.org) (cvedetails.com)

Eintrag

Erstellt: 11.01.2017
Eintrag: 73.6% komplett
...