Description d’origine
Use-after-free vulnerability in Microsoft Internet Explorer 6, 6 SP1, 7, and 8 on Windows 2000 SP4; Windows XP SP2 and SP3; Windows Server 2003 SP2; Windows Vista Gold, SP1, and SP2; Windows Server 2008 Gold, SP2, and R2; and Windows 7 allows remote attackers to execute arbitrary code by accessing a pointer associated with a deleted object, related to incorrectly initialized memory and improper handling of objects in memory, as exploited in the wild in December 2009 and January 2010 during Operation Aurora, aka "HTML Object Memory Corruption Vulnerability."
Exploitation connue (CISA KEV)
- Ajoutée au KEV
- 2026-05-20
- Échéance de correction (administration fédérale américaine)
- 2026-06-03
- Utilisation par des rançongiciels
- Unknown
- Action requise
- Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Détails
- Publication
- 2010-01-16
- Dernière modification
- 2026-05-21
- Vecteur CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- EPSS (probabilité d’exploitation à 30 jours)
- 91.94% (percentile 100)
Références
- cve.org/CVE-2010-0249
- nvd.nist.gov/vuln/detail/CVE-2010-0249
- www.microsoft.com/technet/security/advisory/979352.mspx
- oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A6835
- osvdb.org/61697
- www.securityfocus.com/bid/37815
- www.kb.cert.org/vuls/id/492515
- www.exploit-db.com/exploits/11167
- support.microsoft.com/kb/979352
- blogs.technet.com/msrc/archive/2010/01/14/security-advisory-979352.aspx
- exchange.xforce.ibmcloud.com/vulnerabilities/55642
- www.us-cert.gov/cas/techalerts/TA10-055A.html
- docs.microsoft.com/en-us/security-updates/securitybulletins/2010/ms10-002
- news.cnet.com/8301-27080_3-10435232-245.html
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.