8.8Hoch KEV

CVE-2012-1856Microsoft Office MSCOMCTL.OCX Remote Code Execution Vulnerability

microsoft commerce server; microsoft host integration server; microsoft office; microsoft office web components Veröffentlicht: 2012-08-15 04:00 (vor 14 Jahren)

Bekannt ausgenutzt — Microsoft Office MSCOMCTL.OCX Remote Code Execution Vulnerability

CISA hat am 03.03.2022 bestätigt, dass diese Schwachstelle in echten Angriffen genutzt wird. Frist für US-Bundesbehörden: 24.03.2022.

Erforderliche Maßnahme: Apply updates per vendor instructions. https://nvd.nist.gov/vuln/detail/CVE-2012-1856

Beschreibung

The TabStrip ActiveX control in the Common Controls in MSCOMCTL.OCX in Microsoft Office 2003 SP3, Office 2003 Web Components SP3, Office 2007 SP2 and SP3, Office 2010 SP1, SQL Server 2000 SP4, SQL Server 2005 SP4, SQL Server 2008 SP2, SP3, R2, R2 SP1, and R2 SP2, Commerce Server 2002 SP4, Commerce Server 2007 SP2, Commerce Server 2009 Gold and R2, Host Integration Server 2004 SP1, Visual FoxPro 8.0 SP1, Visual FoxPro 9.0 SP2, and Visual Basic 6.0 Runtime allows remote attackers to execute arbitrary code via a crafted (1) document or (2) web page that triggers system-state corruption, aka "MSCOMCTL.OCX RCE Vulnerability."

Daten: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Wiedergegeben wie in der Quelle, auf Englisch.

Betroffene Produkte und Versionen

Hersteller	Produkt	Versionen
microsoft	commerce server	2002
microsoft	host integration server	2004
microsoft	office	2003
microsoft	office web components	2003
microsoft	sql server	2000
microsoft	visual basic	6.0
microsoft	visual foxpro	8.0

Referenzen und Patches

MS12-060 vendor-advisoryPatchVendor Advisory
oval:org.mitre.oval:def:15447 vdb-entrysignatureBroken Link
TA12-227A third-party-advisoryThird Party AdvisoryUS Government Resource
54948 vdb-entryBroken LinkThird Party AdvisoryVDB Entry
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-1856 US Government Resource

CPE-Treffer (NVD) (21)

cpe:2.3:a:microsoft:commerce_server:2002:sp4:*:*:*:*:*:*
cpe:2.3:a:microsoft:commerce_server:2007:sp2:*:*:*:*:*:*
cpe:2.3:a:microsoft:commerce_server:2009:*:*:*:*:*:*:*
cpe:2.3:a:microsoft:commerce_server:2009:r2:*:*:*:*:*:*
cpe:2.3:a:microsoft:host_integration_server:2004:sp1:*:*:*:*:*:*
cpe:2.3:a:microsoft:office:2003:sp3:*:*:*:*:*:*
cpe:2.3:a:microsoft:office:2007:sp2:*:*:*:*:*:*
cpe:2.3:a:microsoft:office:2007:sp3:*:*:*:*:*:*
cpe:2.3:a:microsoft:office:2010:sp1:x86:*:*:*:*:*
cpe:2.3:a:microsoft:office_web_components:2003:sp3:*:*:*:*:*:*
cpe:2.3:a:microsoft:sql_server:2000:sp4:*:*:*:*:*:*
cpe:2.3:a:microsoft:sql_server:2000:sp4:analysis_services:*:*:*:*:*
cpe:2.3:a:microsoft:sql_server:2005:sp3:express_advanced_services:*:*:*:*:*
cpe:2.3:a:microsoft:sql_server:2005:sp4:*:*:*:*:*:*
cpe:2.3:a:microsoft:sql_server:2008:r2_sp1:*:*:*:*:*:*
cpe:2.3:a:microsoft:sql_server:2008:r2_sp2:*:*:*:*:*:*
cpe:2.3:a:microsoft:sql_server:2008:sp2:*:*:*:*:*:*
cpe:2.3:a:microsoft:sql_server:2008:sp3:*:*:*:*:*:*
cpe:2.3:a:microsoft:visual_basic:6.0:*:*:*:*:*:*:*
cpe:2.3:a:microsoft:visual_foxpro:8.0:sp1:*:*:*:*:*:*
cpe:2.3:a:microsoft:visual_foxpro:9.0:sp2:*:*:*:*:*:*

CVSS-Score

8.8Hoch

Quelle: CISA-ADP · CVSS 3.1

Angriffsvektor: Netzwerk
Komplexität: Niedrig
Rechte erforderlich: Keine
Benutzerinteraktion: Erforderlich
Geltungsbereich: Unverändert
Vertraulichkeit: Hoch
Integrität: Hoch
Verfügbarkeit: Hoch

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Alle Scores (4)

CISA-ADP	CVSS 3.1	8.8Hoch
nvd	CVSS 3.1	8.8Hoch
134c704f-9b21-4f2e-91b3-4a467353bcc0	CVSS 3.1	8.8Hoch
nvd	CVSS 2.0	9.3Hoch

EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)

72.03%

höher als 99 % aller CVEs

CISA-Bewertung (SSVC)

Ausnutzung: active
Automatisierbar: no
Technische Auswirkung: total

Zeitverlauf

ID reserviert2012-03-22
Veröffentlicht2012-08-15 04:00
Bei IP-DB eingegangen2026-10-24 23:34
In KEV aufgenommen2022-03-03
Zuletzt aktualisiert2026-06-17 02:40

Vergeben von (CNA): microsoft
NVD-Status: Analyzed

In der Quelle ansehen: CVE.org · NVD

Benachrichtigung bei neuen Schwachstellen in diesen Produkten

E-Mail-Warnungen aktivieren

Kostenlos · mit Konto · jederzeit abbestellbar

Neue CVEs im selben Produkt — Microsoft SQL Server

8.8Hoch

CVE-2026-118120 vor 4 Tagen

Microsoft SQL Server Elevation of Privilege Vulnerability

Microsoft Microsoft SQL Server 2017 (GDR); Microsoft Microsoft SQL Server 2017 for x64-based Systems (CU31); Microsoft Microsoft SQL Server 2019 (GDR); Microsoft Microsoft SQL Server 2019 for x64-based Systems (CU32)

Improper neutralization of special elements used in an sql command ('sql injection') in SQL Server allows an authorized attacker to elevate privileges over a network.

1.1%EPSS

8.0Hoch

CVE-2026-118118 vor 4 Tagen

Microsoft SQL Server Elevation of Privilege Vulnerability

Improper neutralization of special elements used in an sql command ('sql injection') in SQL Server allows an authorized attacker to elevate privileges over a network.

8.0Hoch

CVE-2026-118119 vor 4 Tagen

Microsoft SQL Server Elevation of Privilege Vulnerability

Improper neutralization of special elements used in an sql command ('sql injection') in SQL Server allows an authorized attacker to elevate privileges over a network.

7.0Hoch

CVE-2026-118116 vor 4 Tagen

Microsoft SQL Server Elevation of Privilege Vulnerability

Improper neutralization of special elements used in an sql command ('sql injection') in SQL Server allows an authorized attacker to elevate privileges locally.

1.9%EPSS

8.0Hoch

CVE-2026-118117 vor 4 Tagen

Microsoft SQL Server Elevation of Privilege Vulnerability

Improper neutralization of special elements used in an sql command ('sql injection') in SQL Server allows an authorized attacker to elevate privileges over a network.

7.5Hoch

CVE-2026-118114 vor 4 Tagen

Microsoft SQL Server Elevation of Privilege Vulnerability

Improper neutralization of special elements used in an sql command ('sql injection') in SQL Server allows an authorized attacker to elevate privileges over a network.