CVE-2013-0022

Use-after-free w Internet Explorer 9 umożliwia zdalne wykonanie kodu

CVSS 9.0v3.1pub. 2013-02-13upd. 2026-04-29

Podatność typu use-after-free w Microsoft Internet Explorer 9 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowaną stronę internetową. Luka jest oceniana jako krytyczna z wynikiem CVSS 9.0, co czyni ją poważnym zagrożeniem dla użytkowników korzystających z tej przeglądarki.

▸ Pokaż oryginał (EN)

Use-after-free vulnerability in Microsoft Internet Explorer 9 allows remote attackers to execute arbitrary code via a crafted web site that triggers access to a deleted object, aka "Internet Explorer LsGetTrailInfo Use After Free Vulnerability."

🤖 Analiza AI

Jak działa

Błąd polega na niewłaściwym zarządzaniu pamięcią w funkcji LsGetTrailInfo przeglądarki Internet Explorer 9 — klasyczny przypadek CWE-416 (use-after-free). Atakujący może skonstruować złośliwą stronę internetową, której odwiedzenie wyzwala dostęp do obszaru pamięci wcześniej zwolnionego (usuniętego obiektu). Odwołanie się do zwolnionej pamięci może skutkować wykonaniem kontrolowanego przez atakującego kodu w kontekście przeglądarki.

Skutki

Atakujący może wykonać dowolny kod na komputerze ofiary, potencjalnie przejmując pełną kontrolę nad systemem. W przypadku powodzenia exploit może prowadzić do instalacji złośliwego oprogramowania, kradzieży danych lub dalszego lateral movement w sieci.

Mitygacja

Należy zastosować aktualizację bezpieczeństwa opisaną w biuletynie MS13-009 dostępnym w referencjach producenta (Microsoft Security Bulletins). Zaleca się natychmiastową instalację patcha lub — tymczasowo — ograniczenie korzystania z Internet Explorer 9 do czasu aktualizacji.

Kogo dotyczy

Microsoft Internet Explorer 9 działający na systemach Microsoft Windows Vista, Windows 7 oraz Windows Server 2008

Uwagi

Podatność opisana w biuletynie Microsoft MS13-009, opublikowanym 12 lutego 2013 r. Znana pod nazwą własną 'Internet Explorer LsGetTrailInfo Use After Free Vulnerability'.