CVE-2008-0015highbajo ataqueCWE-121

CVE-2008-0015

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Windows

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.

ssvc Actcvss 8.8epss 77%
de la publicación al arma3 días
Publicada en NVD7 jul
1ª PoC+3d
metasploit5 jul
CISA KEV+6069d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-03-10

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Un error en el componente de reproductor de vídeo de Microsoft permite que atacantes ejecuten código malicioso en tu computadora al visitar una página web especialmente creada. La falla permite a los atacantes sobrescribir memoria para inyectar y ejecutar instrucciones dañinas.

Detalle técnico

Desbordamiento de buffer basado en pila en la función CComVariant::ReadFromStream dentro del control ActiveX MPEG2TuneRequest (msvidctl.dll) de ATL. Los atacantes remotos pueden explotarlo a través de contenido web manipulado para lograr ejecución arbitraria de código; la explotación requiere interacción del usuario (visitar una página maliciosa) y afecta Windows 2000 SP4 hasta Vista SP2 y Server 2008.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Stack-based buffer overflow in the CComVariant::ReadFromStream function in the Active Template Library (ATL), as used in the MPEG2TuneRequest ActiveX control in msvidctl.dll in DirectShow, in Microsoft Windows 2000 SP4, XP SP2 and SP3, Server 2003 SP2, Vista Gold, SP1, and SP2, and Server 2008 Gold and SP2 allows remote attackers to execute arbitrary code via a crafted web page, as exploited in the wild in July 2009, aka "Microsoft Video ActiveX Control Vulnerability."
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.