ZyXEL ATP500/USG40/USG1900/ZyWALL310/ZyWALL1100 /?mobile=1 mp_idx Reflected البرمجة عبر المواقع

CVSS الدرجة المؤقتة للميتا	سعر الإكسبلويت الحالي (≈)	درجة اهتمام CTI
5.0	$0-$5k	0.00

الملخصالمعلومات

تم اكتشاف ثغرة مصنفة كـ مشكلة صعبة الحل في ZyXEL ATP500, USG40, USG1900, ZyWALL310 and ZyWALL1100. تتعلق المشكلة بالوظيفة $software_function في الملف /?mobile=1. عند التلاعب بالوسيط mp_idx من خلال إدخال %22;alert(1);// ينتج البرمجة عبر المواقع (Reflected). تُعرف هذه الثغرة باسم CVE-2019-9955. يمكن شن الهجوم هذا عن بعد. هنالك إكسبلويت متوفرة. يُفضل تثبيت تحديث لحل هذه المشكلة.

التفاصيلالمعلومات

تم اكتشاف ثغرة مصنفة كـ مشكلة صعبة الحل في ZyXEL ATP500, USG40, USG1900, ZyWALL310 and ZyWALL1100. تتعلق المشكلة بالوظيفة $software_function في الملف /?mobile=1. عند التلاعب بالوسيط mp_idx من خلال إدخال %22;alert(1);// ينتج البرمجة عبر المواقع (Reflected). تعريف الـ سي دبليو أي للثغرة الأمنية هو CWE-79. تم اكتشاف الخلل بتاريخ 06/02/2019. المشكلة تم الإبلاغ عنها بتاريخ 15/04/2019 بواسطة Aaron Bishop كـ CVE-2019-9955 Refelected XSS on Zyxel Login page كـ استشارة (موقع إلكتروني). تمت مشاركة التنبيه للتنزيل على securitymetrics.com. تم نشر هذه البيانات بموافقة الشركة المالكة.

تُعرف هذه الثغرة باسم CVE-2019-9955. تم تخصيص CVE في 23/03/2019. يمكن شن الهجوم هذا عن بعد. التفاصيل التقنية متوفرة. التقارير تشير بأن الثغرة الأمنية هذه ذات شهرة أقل من المتوسط. هنالك إكسبلويت متوفرة. تم إتاحة الاستغلال للجمهور وقد يتم استغلاله. يعلن مشروع MITRE ATT&CK عن تقنية الهجوم كـ T1059.007.

في حال وجود إثبات المفهوم، يتم الإعلان عنه كـ إثبات المفهوم. تم توفير الاستغلال للتنزيل على securitymetrics.com. تمت معالجة الثغرة كاستغلال يوم-صفر خاص لمدة لا تقل عن 18 يومًا. كسعر لثغرة يوم الصفر، قُدّر السعر في السوق السوداء بحوالي $0-$5k.

يُفضل تثبيت تحديث لحل هذه المشكلة.

منتجالمعلومات

النوع

• Firewall Software

المجهز

• ZyXEL

الأسم

• ATP500
• USG40
• USG1900
• ZyWALL310
• ZyWALL1100

الرخصة

• تجاري

موقع إلكتروني

• المجهز: https://www.zyxel.com/

CPE 2.3المعلومات

• 🔍
• 🔍
• 🔍

CPE 2.2المعلومات

• 🔍
• 🔍
• 🔍

CVSSv4المعلومات

VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

CVSSv3المعلومات

VulDB الدرجة الأساسية للميتا: 5.2
VulDB الدرجة المؤقتة للميتا: 5.0

VulDB الدرجة الأساسية: 4.3
VulDB الدرجة المؤقتة: 3.9
VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 6.1
NVD متجه: 🔍

CVSSv2المعلومات

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

متجه	التعقيد	توثيق	السرية	الأمانة	التوفر
افتح	افتح	افتح	افتح	افتح	افتح
افتح	افتح	افتح	افتح	افتح	افتح
افتح	افتح	افتح	افتح	افتح	افتح

VulDB الدرجة الأساسية: 🔍
VulDB الدرجة المؤقتة: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 🔍

استغلالالمعلومات

الأسم: Reflected
الفئة: البرمجة عبر المواقع / Reflected
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

ملموس: لا
محلي: لا
عن بُعد: نعم

التوفر: 🔍
وصول: عام
الحالة: إثبات المفهوم
المؤلف: Aaron Bishop
لغة البرمجة: 🔍
تحميل: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

تقدير السعر: 🔍
تقدير السعر الحالي: 🔍

0-Day	افتح	افتح	افتح	افتح
اليوم	افتح	افتح	افتح	افتح

Exploit-DB: 🔍

استخبارات التهديدالمعلومات

الاهتمام: 🔍
الفاعلون النشطون: 🔍
مجموعات APT النشطة: 🔍

إجراءات مضادةالمعلومات

التوصية: تصحيح
الحالة: 🔍

زمن الاستجابة: 🔍
زمن الهجوم الفوري: 🔍
وقت تأخير الاستغلال: 🔍

الجدول الزمنيالمعلومات

06/02/2019 🔍
06/02/2019 +0 أيام 🔍
24/02/2019 +18 أيام 🔍
24/02/2019 +0 أيام 🔍
23/03/2019 +27 أيام 🔍
15/04/2019 +23 أيام 🔍
15/04/2019 +0 أيام 🔍
16/04/2019 +1 أيام 🔍
22/10/2024 +2016 أيام 🔍

المصادرالمعلومات

المجهز: zyxel.com

استشارة: CVE-2019-9955 Refelected XSS on Zyxel Login page
باحث: Aaron Bishop
الحالة: مؤكد
تأكيد: 🔍
منسق: 🔍

CVE: CVE-2019-9955 (🔍)
GCVE (CVE): GCVE-0-2019-9955
GCVE (VulDB): GCVE-100-133423
scip Labs: https://www.scip.ch/en/?labs.20161013
متفرقات: 🔍

إدخالالمعلومات

تم الإنشاء: 16/04/2019 08:22 PM
تم التحديث: 22/10/2024 03:40 AM
التغييرات: 16/04/2019 08:22 PM (73), 30/05/2020 06:39 AM (2), 29/08/2023 11:39 AM (5), 22/10/2024 03:40 AM (14)
كامل: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

مناقشة

Want to know what is going to be exploited?

We predict KEV entries!