CVSS درجة الميتا الوقتية	سعر الإكسبلويت الحالي (≈)	درجة اهتمام الـCTI
9.0	$0-$5k	0.04

تم أيجاد ثغرة أمنية بصنف خطيرة جداً. في Crowd يصل إلى2.8.7/2.9.4. المشكلة أثرت على دالة غير معروفة من العنصر LDAP. تعريف الـ سي دبليو أي للثغرة الأمنية هو CWE-20. المشكلة تمت مشاركتها بتاريخ 31/10/2016 بواسطة Alvaro Munoz and Alexander Mirosh كـ October 2016 - Crowd - Critical Security Advisory كـ Mailinglist Post (Bugtraq). الاستشارة متوفرة هنا seclists.org. تم النشر بالتنسيق مع الشركة المالكة.

تم تسمية الثغرة بأسمCVE-2016-6496. تمت إحالة الـ سي في أي01/08/2016. يمكن شن الهجوم هذا عن بعد. التفاصيل التقنية غير متوفرة. التقارير تشير بأن الثغرة الأمنية هذه ذات شهرة أقل من المتوسط. الإكسبلويت غير متوفرة. سعر الإكسبلويت الحالي تقريباً. USD $0-$5k في هذه اللحظة. وقد صرح الاستشاري بأن:

The Crowd LDAP directory connector allowed an attacker to gain remote code execution in Crowd by injecting malicious attributes in LDAP entries. To exploit this issue, attackers either need to modify an entry in an LDAP directory that Crowd is configured to use or successfully execute a Man-in-The-Middle attack between an LDAP server and Crowd. Crowd installations configured to communicate with an LDAP server using the LDAPS protocol with the Secure SSL option enabled are immune to the Man-in-The-Middle attack vector only (unless an attacker is able to obtain the private key of the SSL/TLS certificate used to secure the communication).

تم أعتبراها على أنها غير معرفة. لكونها ثغرة هجوم فوري متوسط سعرها كان$0-$5k.

تحديث النسخة إلى إصدار2.8.8, 2.9.5 , 2.10.1 يمكن أن يحل هذه المشكلة. ننصح بـ تحديث المكون المتأثر بهذه الثغرة.

الثغرة الأمنية هذه تم تسجيلها في قواعد بيانات آخرى: SecurityFocus (BID 93826).

متأثر

• Crowd يصل إلى1.4.1

منتجالمعلومات

الأسم

• Crowd

النسخة

• 2.8.0
• 2.8.1
• 2.8.2
• 2.8.3
• 2.8.4
• 2.8.5
• 2.8.6
• 2.8.7
• 2.9.0
• 2.9.1
• 2.9.2
• 2.9.3
• 2.9.4

CPE 2.3المعلومات

• 🔍
• 🔍
• 🔍

CPE 2.2المعلومات

• 🔍
• 🔍
• 🔍

CVSSv4المعلومات

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

CVSSv3المعلومات

VulDB الدرجة الأساسية للميتا: 9.8
VulDB درجة الميتا الوقتية: 9.4

VulDB الدرجة الأساسية: 9.8
VulDB الدرجة الوقتية: 9.0
VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 9.8
NVD متجه: 🔍

CVSSv2المعلومات

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

متجه	التعقيد	توثيق	السرية	الأمانة	التوفر
افتح	افتح	افتح	افتح	افتح	افتح
افتح	افتح	افتح	افتح	افتح	افتح
افتح	افتح	افتح	افتح	افتح	افتح

VulDB الدرجة الأساسية: 🔍
VulDB الدرجة الوقتية: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 🔍

إكسبلويتالمعلومات

الفئة: تجاوز الصلاحيات
CWE: CWE-20
CAPEC: 🔍
ATT&CK: 🔍

محلي: لا
عن بعد: نعم

التوفر: 🔍
الحالة: غير معرفة

EPSS Score: 🔍
EPSS Percentile: 🔍

تقدير السعر: 🔍
تقدير السعر الحالي: 🔍

0-Day	افتح	افتح	افتح	افتح
اليوم	افتح	افتح	افتح	افتح

OpenVAS ID: 103512
OpenVAS الأسم: Atlassian Crowd LDAP Java Object Injection Vulnerability
OpenVAS ملف: 🔍
OpenVAS عائلة: 🔍

استخبارات التهديدالمعلومات

الاهتمام: 🔍
الفاعلين النشيطين: 🔍
مجوعات الـAPT الفعالة: 🔍

إجراءات مضادةالمعلومات

المقترح: ترقية
الحالة: 🔍

زمن الهجوم الفوري: 🔍

ترقية: Crowd 2.8.8/2.9.5/2.10.1

التسلسل زمنيالمعلومات

01/08/2016 🔍
19/10/2016 +79 أيام 🔍
31/10/2016 +12 أيام 🔍
31/10/2016 +0 أيام 🔍
09/12/2016 +39 أيام 🔍
21/05/2019 +893 أيام 🔍

المصادرالمعلومات

استشاري: October 2016 - Crowd - Critical Security Advisory
باحث: Alvaro Munoz, Alexander Mirosh
الحالة: غير معرفة
تأكيد: 🔍
تنسيق: 🔍

CVE: CVE-2016-6496 (🔍)
SecurityFocus: 93826 - Atlassian Crowd CVE-2016-6496 LDAP Injection Vulnerability

ادخالالمعلومات

تم الانشاء: 31/10/2016 21:39
تم التحديث: 21/05/2019 11:00
التغييرات: 31/10/2016 21:39 (60), 21/05/2019 11:00 (12)
كامل: 🔍

مناقشة

Interested in the pricing of exploits?

See the underground prices here!