Intel

CVE-2010-0806

Microsoft Internet Explorer — Microsoft Internet Explorer Use-After-Free Vulnerability

criticalKEV: aktiv ausgenutztPoCEPSS 82 %

Beschreibung

Verwundbarkeit durch Verwendung nach Freigabe im Peer Objects-Komponente (auch bekannt als iepeers.dll) in Microsoft Internet Explorer 6, 6 SP1 und 7 ermöglicht es Fernangreifern, beliebigen Code auszuführen über Vektoren, die den Zugriff auf einen ungültigen Zeiger nach der Löschung eines Objekts beinhalten, wie im März 2010 in der Praxis ausgenutzt, auch bekannt als "Uninitialisierte Speicherkorruptionsverwundbarkeit."

Quelle: CISA_KEVNVDCVELISTV5

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2010-0806 betrifft ausschliesslich End-of-Life-Software (IE 6/7 auf EoL-Betriebssystemen), erhält keine weiteren Herstellerpatches und wurde bereits 2010 aktiv in Drive-by-Download-Kampagnen ausgenutzt. Der EPSS-Wert von 82,2 % (Perzentile 99,6 %) spiegelt die historisch hohe Verfügbarkeit funktionsfähiger Exploits wider — Exploit-Kits dieser Ära sind weiterhin in Untergrundarchiven verfügbar und können gegen ungepatchte Legacy-Systeme eingesetzt werden. Mit CVSS 8.8 (AV:N/AC:L/PR:N/UI:R) genügt ein einziger Klick eines Benutzers auf eine präparierte Webseite zur vollständigen Kompromittierung. Für NIS2-pflichtige Organisationen ist das Vorhandensein von IE 6/7 in der Produktivumgebung ein Compliance-Risiko; die CISA-Empfehlung lautet explizit, das Produkt nicht mehr zu verwenden — Migration hat Vorrang vor allen Workarounds.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Sofortige Deinstallation oder Isolation: Internet Explorer 6, 6 SP1 und 7 sind End-of-Life und erhalten keine weiteren Sicherheitsupdates. Systeme, auf denen ausschliesslich diese Versionen verfügbar sind, sind vom Netzwerk zu isolieren, bis eine Ablösung erfolgt ist.
  • Browser-Ablösung erzwingen: Gruppenrichtlinie (GPO) einsetzen, um IE als Standard-Browser zu deaktivieren und den Aufruf von iexplore.exe auf betroffenen Systemen zu sperren — z. B. via AppLocker-Regel oder Software Restriction Policy.
  • iepeers.dll deaktivieren: Sofern IE nicht sofort entfernt werden kann, die DLL per regsvr32 /u iepeers.dll deregistrieren, um den verwundbaren Peer-Objects-Komponenten-Aufruf zu unterbinden.
  • Patch-Status prüfen: Für Systeme, die noch unter aktivem Support liefen (Windows XP SP3, Vista, Server 2003/2008), war MS10-018 der ursprüngliche Fix. Da diese Betriebssysteme selbst EoL sind, ist eine Betriebssystem-Migration die einzig nachhaltige Massnahme.
  • Netzwerk-Egress einschränken: Ausgehende HTTP/HTTPS-Verbindungen von Legacy-Systemen auf bekannte, erlaubte Ziele beschränken — verhindert Drive-by-Download-Ketten, die diesen Exploit als Einstiegspunkt nutzen.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: Legacy-Systeme mit IE 6/7 in ein isoliertes VLAN verschieben; ausgehende Verbindungen zu Port 80/443 nur über einen Proxy mit TLS-Inspection und URL-Filterung erlauben.
  • WAF/Proxy-Filterung: Im Proxy-Regelwerk bekannte Exploit-Kit-Domains und -Pfade sperren; HTTP-Responses mit verdächtigen JavaScript-Obfuskationsmustern (z. B. eval(unescape( oder document.write(unescape() blockieren.
  • EMET / DEP / ASLR erzwingen: Auf Systemen, auf denen EMET noch lauffähig ist, für iexplore.exe DEP (Data Execution Prevention) und ASLR erzwingen — reduziert Zuverlässigkeit der Exploit-Ausführung erheblich.
  • Least-Privilege für Browser-Prozess: IE-Prozesse dürfen nicht mit administrativen Rechten laufen. Protected Mode (IE 7 auf Vista+) aktivieren; auf XP-Systemen Benutzerkonten ohne lokale Admin-Rechte verwenden.
  • IPS-Signatur aktivieren: Netzwerk-IPS auf Signaturen für CVE-2010-0806 prüfen — Snort/Suricata-Regelsets (Emerging Threats) enthalten historische Signaturen für iepeers.dll-Exploit-Traffic. Sicherstellen, dass diese Regeln aktiv und aktuell sind.
  • Makro- und ActiveX-Härtung: In der IE-Sicherheitszonenrichtlinie ActiveX-Steuerelemente deaktivieren (HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3, Wert 1200 auf 3 setzen).

Runbook · Schritt 3

Detection-Regeln

  • Prozess-Anomalie (Sysmon EID 1): Kindprozesse von iexplore.exe, die ungewöhnliche Binaries starten (z. B. cmd.exe, powershell.exe, wscript.exe) — Sigma-Shape: ParentImage|endswith: 'iexplore.exe' AND Image|endswith: ('cmd.exe','powershell.exe','wscript.exe').
  • DLL-Ladeereignis (Sysmon EID 7): Laden von iepeers.dll durch iexplore.exe auf Systemen, auf denen die DLL deregistriert sein sollte — Alert bei unerwartetem ImageLoaded für iepeers.dll.
  • Crash-Telemetrie / Windows Error Reporting: Häufige iexplore.exe-Abstürze (Event ID 1000 im Application-Log) können auf fehlgeschlagene Exploit-Versuche hinweisen — Schwellenwert: mehr als 3 Abstürze pro Stunde pro Host.
  • Netzwerk-Telemetrie (Zeek/Suricata): HTTP-Responses, die iepeers oder charakteristische Heap-Spray-Muster (\x0c\x0c\x0c\x0c) im Body enthalten — SPL-Snippet: index=proxy uri="*iepeers*" OR payload="*\x0c\x0c\x0c\x0c*".
  • Registry-Änderung (Sysmon EID 13): Unerwartete Schreibzugriffe auf HKCU\Software\Microsoft\Internet Explorer\ oder HKLM\SOFTWARE\Microsoft\Internet Explorer\ unmittelbar nach einem IE-Prozessstart — kann auf Post-Exploitation-Persistenz hindeuten.

Metriken

Severity
critical
Priority-Score
224.42
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
8.8
Quelle: nvd-v3
CVSS v3
8.8
CVSS v4
—
EPSS-Perzentil
99.6 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
82.2 %
Hoch — Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
Veröffentlicht
2026-05-20 00:00 UTC
CWE
—

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • microsoft

    internet_explorer

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

IDCVE-2010-0806