SecBoard
Zurück zur CVE-Übersicht

CVE-2013-0074

HIGH(7.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Risk Signal Score74/100 — HOCH
  • CVSS 7.8 — Hoch
  • EPSS 82% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

81.9%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.8

Technische Schwere

SecBoard-Einordnung

CVE-2013-0074 betrifft Microsoft Silverlight und Silverlight Developer Runtime. Es handelt sich um eine Double-Dereference-Schwachstelle bei der Pointer-Validierung während des HTML-Objekt-Renderings. Ein Angreifer könnte durch eine speziell präparierte Silverlight-Anwendung beliebigen Code ausführen und so die Kontrolle über das betroffene System erlangen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Microsoft Silverlight 5, and 5 Developer Runtime, before 5.1.20125.0 does not properly validate pointers during HTML object rendering, which allows remote attackers to execute arbitrary code via a crafted Silverlight application, aka "Silverlight Double Dereference Vulnerability."

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Ein Angreifer könnte eine speziell präparierte Silverlight-Anwendung auf einer Website hosten und Benutzer dazu verleiten, diese zu besuchen, um Remote Code Execution zu erreichen. Es ist auch möglich, kompromittierte Websites oder solche, die benutzergenerierte Inhalte oder Werbung akzeptieren, zu nutzen. Die Schwachstelle wurde privat gemeldet.

Behobene Versionen

  • Silverlight 5.1.20125.0

Threat-Hunting-Queries

Die Schwachstelle betrifft die Art und Weise, wie Silverlight Speicherzeiger bei der HTML-Objektdarstellung prüft. Eine verhaltensbasierte Erkennung würde versuchen, ungewöhnliche Prozessaktivitäten oder die Ausführung von Code durch Silverlight-Prozesse zu identifizieren, die über die normale Funktionalität hinausgehen. Da Silverlight End-of-Life ist, sollte jede Aktivität als verdächtig betracht

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "Silverlight.exe" or FileName =~ "Silverlight.exe"
| where ProcessCommandLine contains "powershell" or ProcessCommandLine contains "cmd.exe" or ProcessCommandLine contains "mshta.exe" or ProcessCommandLine contains "wscript.exe" or ProcessCommandLine contains "cscript.exe"
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, FolderPath

Splunk SPL

index=your_index_name (sourcetype=your_process_sourcetype OR sourcetype=your_sysmon_sourcetype) (ParentProcessName="Silverlight.exe" OR ProcessName="Silverlight.exe") (CommandLine="*powershell*" OR CommandLine="*cmd.exe*" OR CommandLine="*mshta.exe*" OR CommandLine="*wscript.exe*" OR CommandLine="*cscript.exe*") | table _time, host, ParentProcessName, ProcessName, CommandLine, Image

Sigma

title: Silverlight Code Execution Attempt
status: experimental
description: Detects suspicious process creation by Silverlight, indicating potential exploitation of CVE-2013-0074.
author: SecBoard
date: 2023/10/27
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\Silverlight.exe'
    CommandLine|contains:
      - 'powershell'
      - 'cmd.exe'
      - 'mshta.exe'
      - 'wscript.exe'
      - 'cscript.exe'
  condition: selection
level: high

Elastic ES|QL

from process where process.parent.executable.endswith('Silverlight.exe') and (process.args contains 'powershell' or process.args contains 'cmd.exe' or process.args contains 'mshta.exe' or process.args contains 'wscript.exe' or process.args contains 'cscript.exe') | select @timestamp, host.name, process.parent.executable, process.executable, process.args

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:microsoft:silverlight:*:*:*:*:*:*:*:*

Referenzen