CVE-2014-4148highbajo ataqueCWE-94

CVE-2014-4148

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Windows

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

63Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 8.8epss 60%
de la publicación al arma
Publicada en NVD15 oct
CISA KEV+2779d
Acción exigida por CISAplazo federal: 2022-06-15

Apply updates per vendor instructions.

En resumen

Una falla en el manejo de fuentes TrueType en Windows permite que atacantes ejecuten código malicioso enviando un archivo de fuente especialmente diseñado. Esto es peligroso porque las fuentes suelen ser confiables y se descargan automáticamente por navegadores y aplicaciones.

Detalle técnico

La vulnerabilidad existe en el controlador en modo kernel win32k.sys, en la lógica de análisis de fuentes TrueType (CWE-94: Control Inadecuado de Generación de Código), permitiendo ejecución remota de código cuando se procesa una fuente maliciosa. No hay necesidad de interacción del usuario más allá del procesamiento normal de fuentes; el atacante puede entregar la fuente maliciosa a través de navegadores web o archivos adjuntos de correo electrónico.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

win32k.sys in the kernel-mode drivers in Microsoft Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold and R2, and Windows RT Gold and 8.1 allows remote attackers to execute arbitrary code via a crafted TrueType font, as exploited in the wild in October 2014, aka "TrueType Font Parsing Remote Code Execution Vulnerability."
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a