CVE-2013-3918

CVSS 8.8 HIGHEPSS 73.9%● KEVCWE-787

Em resumo

Uma falha no controle ActiveX InformationCardSigninHelper do Windows permite que atacantes executem código malicioso quando um usuário visita uma página web maliciosa no Internet Explorer. Esse controle foi explorado em ataques reais em novembro de 2013.

Detalhe técnico

Vulnerabilidade de escrita fora dos limites (out-of-bounds write) no controle ActiveX InformationCardSigninHelper (icardie.dll), explorável por conteúdo HTML malicioso entregue via Internet Explorer. Requer que o usuário visite a página comprometida; resulta em execução de código arbitrário com privilégios do usuário ou negação de serviço.

Resumo gerado e traduzido por IA a partir da descrição oficial.

The InformationCardSigninHelper Class ActiveX control in icardie.dll in Microsoft Windows XP SP2 and SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold and R2, and Windows RT Gold and 8.1 allows remote attackers to execute arbitrary code or cause a denial of service (out-of-bounds write) via a crafted web page that is accessed by Internet Explorer, as exploited in the wild in November 2013, aka "InformationCardSigninHelper Vulnerability."

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 1

exploitdbwww.exploit-db.com/exploits/29857não verificado

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

http://blogs.technet.com/b/msrc/archive/2013/11/11/activex-control-issue-being-addressed-in-update-tuesday.aspx https://docs.microsoft.com/en-us/security-updates/securitybulletins/2013/ms13-090 https://isc.sans.edu/forums/diary/16985 https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A19089 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-3918 https://www.microsoft.com/en-us/msrc/blog/2013/11/technical-details-of-the-targeted-attack-using-ie-vulnerability-cve-2013-3918/http://www.darkreading.com/vulnerability/new-ie-vulnerability-found-in-the-wild-s/240163814/http://www.fireeye.com/blog/technical/2013/11/new-ie-zero-day-found-in-watering-hole-attack.html http://www.us-cert.gov/ncas/alerts/TA13-317A