SecBoard
Zurück zur CVE-Übersicht

CVE-2019-0752

HIGH(7.5)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Risk Signal Score73/100 — HOCH
  • CVSS 7.5 — Hoch
  • EPSS 82% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

81.6%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.5

Technische Schwere

SecBoard-Einordnung

CVE-2019-0752 beschreibt eine ()-Schwachstelle in Microsoft Internet Explorer. Die Schwachstelle liegt in der Art und Weise, wie die Scripting Engine Objekte im Speicher handhabt, was als 'Scripting Engine Memory Corruption Vulnerability' bezeichnet wird. Ein erfolgreicher könnte einem Angreifer ermöglichen, beliebigen Code auf dem betroffenen System auszuführen.

Diese Schwachstelle wird als kritisch eingestuft, mit einem CVSS-Score von 7.5 (HIGH) und einer hohen EPSS-Wahrscheinlichkeit von 82% für eine Ausnutzung. Besonders besorgniserregend ist, dass sie in der () Datenbank gelistet ist, was bedeutet, dass sie aktiv ausgenutzt wird. Betroffen sind Internet Explorer Version 10 und 11.

Security-Teams sollten umgehend die entsprechenden Sicherheitsupdates für Microsoft Internet Explorer 10 und 11 einspielen, um das Risiko einer aktiven Ausnutzung zu minimieren. Die Priorisierung dieser Maßnahme ist aufgrund der aktiven Ausnutzung und der hohen Kritikalität dringend.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A remote code execution vulnerability exists in the way that the scripting engine handles objects in memory in Internet Explorer, aka 'Scripting Engine Memory Corruption Vulnerability'. This CVE ID is unique from CVE-2019-0739, CVE-2019-0753, CVE-2019-0862.

Erkennung & Indikatoren

Ausnutzung

Actively exploited in the wild (CISA KEV). User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.

Threat-Hunting-Queries

This vulnerability involves a type confusion in the scripting engine of Internet Explorer when handling DOM objects. Detection should focus on anomalous script execution, especially in older IE versions, or attempts to manipulate DOM object properties in unusual ways. Given the age and nature of the vulnerability, it's likely exploited via drive-by downloads or malicious websites.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "iexplore.exe"
| where ProcessCommandLine contains "script" and ProcessCommandLine contains "DOM"
| where FileName =~ "cmd.exe" or FileName =~ "powershell.exe" or FileName =~ "wscript.exe" or FileName =~ "cscript.exe"
| project TimeGenerated, DeviceName, InitiatingProcessFileName, ProcessCommandLine, FileName, FolderPath

Splunk SPL

index=* sourcetype=WinEventLog:Security EventCode=4688 (New_Process_Name=*iexplore.exe* OR Parent_Process_Name=*iexplore.exe*) (CommandLine=*script* AND CommandLine=*DOM*) (New_Process_Name=*cmd.exe* OR New_Process_Name=*powershell.exe* OR New_Process_Name=*wscript.exe* OR New_Process_Name=*cscript.exe*)
| table _time, ComputerName, Parent_Process_Name, New_Process_Name, CommandLine

Sigma

title: IE Scripting Engine Type Confusion RCE
author: SecBoard
date: 2024/07/30
modified: 2024/07/30
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\iexplore.exe'
    CommandLine|contains: 
      - 'script'
      - 'DOM'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\wscript.exe'
      - '\cscript.exe'
  condition: selection
fields:
  - CommandLine
  - ParentCommandLine
  - Image
  - ParentImage
level: high

Elastic ES|QL

from process where event.action == "process_started" and 
  (process.parent.executable : "iexplore.exe" or process.executable : "iexplore.exe") and 
  (process.command_line : "*script*" and process.command_line : "*DOM*") and 
  (process.executable : "cmd.exe" or process.executable : "powershell.exe" or process.executable : "wscript.exe" or process.executable : "cscript.exe")
| select @timestamp, host.name, process.parent.executable, process.executable, process.command_line

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:microsoft:internet_explorer:11:-:*:*:*:*:*:*
  • cpe:2.3:a:microsoft:internet_explorer:10:*:*:*:*:*:*:*

Referenzen