CVE-2014-0322highbajo ataqueCWE-416

CVE-2014-0322

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Internet Explorer

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 1 grupo(s) de amenaza la utilizan.

ssvc Actcvss 8.8epss 85%
de la publicación al arma59 días
Publicada en NVD14 feb
1ª PoC+59d
metasploit13 feb
CISA KEV+3001d
Quién la explota — 1

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

APT / EstatalAxiom🇨🇳 MITRE ATT&CK
Acción exigida por CISAplazo federal: 2022-05-25

Apply updates per vendor instructions.

En resumen

Internet Explorer 9 y 10 tienen un defecto donde la memoria liberada puede reutilizarse, permitiendo a los atacantes ejecutar código malicioso mediante JavaScript especialmente diseñado. Este ataque fue utilizado activamente por delincuentes a principios de 2014.

Detalle técnico

Vulnerabilidad use-after-free en la implementación de CMarkup de IE 9/10 activada por JavaScript manipulado que explota el evento onpropertychange en elementos script. El vector de ataque es remoto (página web maliciosa), requiere que el usuario visite el sitio; el impacto es la ejecución de código arbitrario en el contexto del navegador.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Use-after-free vulnerability in Microsoft Internet Explorer 9 and 10 allows remote attackers to execute arbitrary code via vectors involving crafted JavaScript code, CMarkup, and the onpropertychange attribute of a script element, as exploited in the wild in January and February 2014.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.