CVE-2017-0037highbajo ataqueCWE-843

CVE-2017-0037: fallo de gravedad alta en Microsoft Corporation Internet Browser

Publicada el 26 feb 2017 · Actualizada el 21 oct 2025

Seguir esta CVE + Monitorear Microsoft Edge + Monitorear Internet Explorer

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

93Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.1epss 80%

de la publicación al armael mismo día

Publicada en NVD26 feb

1ª PoC24 feb

CISA KEV+1856d

Acción exigida por CISAplazo federal: 2022-04-18

Apply updates per vendor instructions.

En resumen

Internet Explorer 10, 11 y Microsoft Edge contienen una falla donde CSS y JavaScript especialmente diseñados pueden confundir al navegador sobre tipos de datos, permitiendo que atacantes ejecuten código malicioso en tu computadora al visitar un sitio malicioso.

Detalle técnico

Vulnerabilidad de confusión de tipos en mshtml.dll en la función Layout::MultiColumnBoxBuilder::HandleColumnBreakOnColumnSpanningElement, explotable a través de secuencias CSS diseñadas especialmente combinadas con manipulación DOM de JavaScript en elementos TH. La ejecución remota de código es posible sin autenticación más allá de visitar contenido controlado por el atacante.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Microsoft Internet Explorer 10 and 11 and Microsoft Edge have a type confusion issue in the Layout::MultiColumnBoxBuilder::HandleColumnBreakOnColumnSpanningElement function in mshtml.dll, which allows remote attackers to execute arbitrary code via vectors involving a crafted Cascading Style Sheets (CSS) token sequence and crafted JavaScript code that operates on a TH element.

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Productos afectados

Microsoft Corporation · Internet Browser

PoCs públicas encontradas — 7✓ VexDay Proof

exploitdb✓ VexDay Proofwww.exploit-db.com/exploits/43125 exploitdb✓ VexDay Proofwww.exploit-db.com/exploits/41454 exploitdbwww.exploit-db.com/exploits/42354no verificado githubgithub.com/chattopadhyaykittu/CVE-2017-0037★ 0 cve_referencewww.exploit-db.com/exploits/42354/no verificado cve_referencewww.exploit-db.com/exploits/43125/no verificado cve_referencewww.exploit-db.com/exploits/41454/no verificado

⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

Referencias

https://0patch.blogspot.si/2017/03/0patching-another-0-day-internet.html https://bugs.chromium.org/p/project-zero/issues/detail?id=1011 https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0037 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-0037 https://www.exploit-db.com/exploits/41454/https://www.exploit-db.com/exploits/42354/https://www.exploit-db.com/exploits/43125/http://www.securityfocus.com/bid/96088 http://www.securitytracker.com/id/1037905 http://www.securitytracker.com/id/1037906