VDB-9215 · CVE-2013-2437 · BID 60636

Oracle Java 7 Update 21/bis 6 Update 45 Deployment Information Disclosure

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.1$0-$5k0.00

Eine Schwachstelle wurde in Oracle Java 7 Update 21/bis 6 Update 45 (Programming Language Software) ausgemacht. Sie wurde als problematisch eingestuft. Davon betroffen ist unbekannter Code der Komponente Deployment. Durch Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-200. Auswirken tut sich dies auf die Vertraulichkeit. Die Zusammenfassung von CVE lautet:

Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 21 and earlier and 6 Update 45 and earlier allows remote attackers to affect confidentiality via unknown vectors related to Deployment.

Die Schwachstelle wurde am 18.06.2013 von Oracle als Oracle Java SE Critical Patch Update Advisory - June 2013 in Form eines nicht definierten Advisories (Website) herausgegeben. Das Advisory findet sich auf oracle.com. Die Verwundbarkeit wird seit dem 05.03.2013 mit der eindeutigen Identifikation CVE-2013-2437 gehandelt. Sie ist leicht auszunutzen. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1592 bezeichnet.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 70742 (IBM Domino 8.5.x < 8.5.3 FP 5 Multiple Vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Misc. zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 185048 (HP-UX Running Java6 Multiple Vulnerabilities (HPSBUX02908)) zur Prüfung der Schwachstelle an.

Ein Aktualisieren vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Oracle hat demzufolge sofort gehandelt. Das Advisory stellt fest:

Due to the threat posed by a successful attack, Oracle strongly recommends that customers apply CPU fixes as soon as possible.
Heise weist darauf hin, dass "dies das letzte planmässige Java-Update ausserhalb von Oracles üblichem dreimonatigem Zyklus sein [wird]. Ab Mitte Oktober integriert es die Java-Korrekturen mit allen übrigen Patches."

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (70742) dokumentiert. Auf Deutsch berichtet unter anderem Heise zum Fall. Unter grahamcluley.com werden zusätzliche Informationen bereitgestellt.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.1

VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Information Disclosure
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 70742
Nessus Name: IBM Domino 8.5.x < 8.5.3 FP 5 Multiple Vulnerabilities
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

OpenVAS ID: 803822
OpenVAS Name: Oracle Java SE Multiple Vulnerabilities -04 June 13 (Windows)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Timelineinfo

05.03.2013 🔍
17.04.2013 +43 Tage 🔍
18.06.2013 +62 Tage 🔍
18.06.2013 +0 Tage 🔍
18.06.2013 +0 Tage 🔍
18.06.2013 +0 Tage 🔍
18.06.2013 +0 Tage 🔍
19.06.2013 +1 Tage 🔍
17.07.2013 +28 Tage 🔍
17.05.2021 +2861 Tage 🔍

Quelleninfo

Hersteller: oracle.com

Advisory: Oracle Java SE Critical Patch Update Advisory - June 2013
Firma: Oracle
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2013-2437 (🔍)
OVAL: 🔍
IAVM: 🔍

Vulnerability Center: 40039 - [javacpujun2013-1899847] Oracle Java JRE Remote Leakage of Information Vulnerability Related to Deployment - CVE-2013-2437, Medium
SecurityFocus: 60636 - Oracle Java SE CVE-2013-2437 Remote Security Vulnerability
Secunia: 54154 - IBM Java Multiple Vulnerabilities, Highly Critical

Heise: 1892061
Diverses: 🔍

Eintraginfo

Erstellt: 19.06.2013 10:34
Aktualisierung: 17.05.2021 09:14
Anpassungen: 19.06.2013 10:34 (51), 03.05.2017 16:16 (37), 17.05.2021 09:14 (3)
Komplett: 🔍
Cache ID: 3:87B:103

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!