CVE-2018-8421

RCE w Microsoft .NET Framework — przetwarzanie niezaufanych danych wejściowych

CVSS 9.8v3.0pub. 2018-09-13upd. 2024-11-21

Krytyczna podatność umożliwiająca zdalne wykonanie kodu (RCE) istnieje w wielu wersjach Microsoft .NET Framework w wyniku nieprawidłowej walidacji niezaufanych danych wejściowych. Zagrożenie jest poważne, ponieważ atakujący może przejąć pełną kontrolę nad systemem bez konieczności uwierzytelniania.

▸ Pokaż oryginał (EN)

A remote code execution vulnerability exists when Microsoft .NET Framework processes untrusted input, aka ".NET Framework Remote Code Execution Vulnerability." This affects Microsoft .NET Framework 4.6, Microsoft .NET Framework 3.5, Microsoft .NET Framework 4.7/4.7.1/4.7.2, Microsoft .NET Framework 3.0, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4.6.2/4.7/4.7.1/4.7.2, Microsoft .NET Framework 4.5.2, Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7/4.7.1/4.7.1/4.7.2, Microsoft .NET Framework 4.7.1/4.7.2, Microsoft .NET Framework 4.7.2, Microsoft .NET Framework 2.0.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych wejściowych (CWE-20) podczas ich przetwarzania przez Microsoft .NET Framework. Atakujący może dostarczyć specjalnie spreparowane, niezaufane dane wejściowe, które zostaną błędnie obsłużone przez framework, prowadząc do wykonania dowolnego kodu. Atak może być przeprowadzony zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Atakujący może zdalnie wykonać dowolny kod na podatnym systemie, co prowadzi do pełnego naruszenia poufności, integralności i dostępności — w tym przejęcia kontroli nad systemem operacyjnym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacje bezpieczeństwa zostały opublikowane przez Microsoft 13 września 2018 r. w ramach miesięcznego cyklu Patch Tuesday. Szczegóły dostępne pod adresem: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8421

Kogo dotyczy

Microsoft .NET Framework w wersjach: 2.0, 3.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1, 4.7.2 — działających na systemach takich jak Microsoft Windows Server 2008 oraz Microsoft Windows 10.

Uwagi

Podatność opublikowana 13 września 2018 r. w ramach cyklu Patch Tuesday firmy Microsoft.

CVSS Vector

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Microsoft .net Framework
APP
Microsoft
2.03.03.53.5.14.5.24.64.6.14.6.24.74.7.14.7.2
Microsoft Windows 10
OS
Microsoft
1607170317091803
Microsoft Windows 7
OS
Microsoft
wszystkie wersje
Microsoft Windows 8.1
OS
Microsoft
wszystkie wersje
Microsoft Windows Rt 8.1
OS
Microsoft
wszystkie wersje
Microsoft Windows Server
OS
Microsoft
17091803
Microsoft Windows Server 2008
OS
Microsoft
r2
Microsoft Windows Server 2012
OS
Microsoft
r2
Microsoft Windows Server 2016
OS
Microsoft
wszystkie wersje