- Aktif istismar
- CWE-787
CVE-2013-3918
Microsoft Windows InformationCardSigninHelper ActiveX Denetiminde Sınır Dışı Yazma Açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 4733 gün
- Kaydı açan
- microsoft
ÖzetTürkçe
Microsoft Windows XP SP2 ve SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 ve R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold ve R2 ile Windows RT Gold ve 8.1 üzerindeki icardie.dll dosyasında bulunan InformationCardSigninHelper Class ActiveX denetimi, uzaktan saldırganların sınır dışı yazma (out-of-bounds write) yoluyla rastgele kod çalıştırmasına veya hizmet dışı bırakma durumuna yol açmasına izin veriyor. Saldırı, Internet Explorer ile erişilen özel hazırlanmış bir web sayfası aracılığıyla gerçekleştirilebiliyor. Açık, Kasım 2013'te gerçek saldırılarda istismar edildi ve "InformationCardSigninHelper Vulnerability" olarak da bilinmektedir.
Kaynaktaki açıklama (İngilizce)
The InformationCardSigninHelper Class ActiveX control in icardie.dll in Microsoft Windows XP SP2 and SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold and R2, and Windows RT Gold and 8.1 allows remote attackers to execute arbitrary code or cause a denial of service (out-of-bounds write) via a crafted web page that is accessed by Internet Explorer, as exploited in the wild in November 2013, aka "InformationCardSigninHelper Vulnerability."
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Microsoft Windows | Sürüm belirtilmemiş | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- docs.microsoft.com/…curity-updates/securitybulletins/2013/ms13-090 Üretici bülteni
- us-cert.gov/ncas/alerts/TA13-317A Üçüncü taraf
- darkreading.com/…ie-vulnerability-found-in-the-wild-s/240163814 Diğer
- fireeye.com/…ie-zero-day-found-in-watering-hole-attack.html Diğer
- oval.cisecurity.org/…definition/oval%3Aorg.mitre.oval%3Adef%3A19089 Diğer
- isc.sans.edu/forums/diary/16985 Diğer
- blogs.technet.com/…l-issue-being-addressed-in-update-tuesday.aspx Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.