- Aktif istismar
- CWE-426
CVE-2012-1854
Microsoft Visual Basic for Applications'ta güvenilmeyen kütüphane yükleme zafiyeti
- Yayımlandı
- Güncellendi
- 14 Nis 2026
- Açık yaşı
- 5222 gün
- Kaydı açan
- microsoft
ÖzetTürkçe
Microsoft Office 2003 SP3, 2007 SP2 ve SP3 ile 2010 Gold ve SP1 sürümlerindeki VBE6.dll dosyasında; Microsoft Visual Basic for Applications (VBA) ve Summit Microsoft Visual Basic for Applications SDK'da güvenilmeyen arama yolu zafiyeti bulunmaktadır. Bu zafiyet, yerel kullanıcıların geçerli çalışma dizinindeki truva atı DLL dosyası aracılığıyla ayrıcalık yükseltmesine izin vermektedir. Zafiyetin, .docx dosyası içeren bir dizin üzerinden gösterildiği belirtilmekte olup, "Visual Basic for Applications Insecure Library Loading Vulnerability" olarak da bilinmektedir ve Temmuz 2012'de gerçek saldırılarda istismar edildiği bildirilmiştir.
Kaynaktaki açıklama (İngilizce)
Untrusted search path vulnerability in VBE6.dll in Microsoft Office 2003 SP3, 2007 SP2 and SP3, and 2010 Gold and SP1; Microsoft Visual Basic for Applications (VBA); and Summit Microsoft Visual Basic for Applications SDK allows local users to gain privileges via a Trojan horse DLL in the current working directory, as demonstrated by a directory that contains a .docx file, aka "Visual Basic for Applications Insecure Library Loading Vulnerability," as exploited in the wild in July 2012.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Microsoft Visual Basic for Applications (VBA) | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- docs.microsoft.com/…curity-updates/securitybulletins/2012/ms12-046 Üretici bülteni
- us-cert.gov/cas/techalerts/TA12-192A.html Üçüncü taraf
- oval.cisecurity.org/…definition/oval%3Aorg.mitre.oval%3Adef%3A14950 Diğer
- learn.microsoft.com/…curity-updates/securitybulletins/2012/ms12-046 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.