800+ IT
News
als RSS Feed abonnieren📚 Microsoft Silverlight bis 5.1 Decoding Handler Pufferüberlauf
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: scip.ch
Allgemein
scipID: 80230
Betroffen: Microsoft Silverlight bis 5.1
Veröffentlicht: 12.01.2016
Risiko: kritisch
Erstellt: 14.01.2016
Eintrag: 73.9% komplett
Beschreibung
In Microsoft Silverlight bis 5.1 wurde eine kritische Schwachstelle gefunden. Es geht um eine unbekannte Funktion der Komponente Decoding Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 12.01.2016 als MS16-006 in Form eines bestätigten Bulletins (Technet) an die Öffentlichkeit getragen. Bereitgestellt wird das Advisory unter technet.microsoft.com. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2016-0034 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle.
Ein Upgrade auf die Version 5.1.41212.0 vermag dieses Problem zu beheben. Die Schwachstelle lässt sich auch durch das Einspielen des Patches MS16-006 beheben. Dieser kann von technet.microsoft.com bezogen werden. Als bestmögliche Massnahme wird das Einspielen des entsprechenden Patches empfohlen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat folglich sofort reagiert. Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1034655) dokumentiert.CVSS
Base Score: 6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P) [?]
Temp Score: 5.9 (CVSS2#E:ND/RL:OF/RC:C) [?]
CPE
Exploiting
Klasse: Pufferüberlauf
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $10k-$25k (0-day) / $5k-$10k (Heute)
Gegenmassnahmen
Empfehlung: Patch
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Upgrade: Silverlight 5.1.41212.0
Patch: MS16-006
Timeline
12.01.2016 | Advisory veröffentlicht
12.01.2016 | Gegenmassnahme veröffentlicht
12.01.2016 | SecurityTracker Eintrag erstellt
14.01.2016 | VulDB Eintrag erstellt
14.01.2016 | VulDB Eintrag aktualisiert
Quellen
Advisory: MS16-006
Status: Bestätigt
CVE: CVE-2016-0034 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityTracker: 1034655 – Microsoft Silverlight String Decoding Flaw Lets Remote Users Execute Arbitrary Code
...