Cisco CallManager حتى 4.1 Web Interface /CCMAdmin/serverlist.asp نمط البرمجة عبر المواقع

CVSS الدرجة المؤقتة للميتاسعر الإكسبلويت الحالي (≈)درجة اهتمام CTI
5.2$0-$5k0.00

الملخصالمعلومات

تم أيجاد ثغرة أمنية بصنف مشكلة صعبة الحل. في Cisco CallManager حتى 4.1. تتأثر الوظيفة $software_function من الملف /CCMAdmin/serverlist.asp من المكون Web Interface. عند التلاعب بالوسيط نمط من خلال إدخال <img%20src='http://www.scip.ch/scip.gif'%20style='border:%201px%20solid%20black;'> ينتج البرمجة عبر المواقع. يتم تداول هذه الثغرة تحت اسم CVE-2007-2832. يمكن شن الهجوم هذا عن بعد. بالإضافة إلى ذلك، يتوفر استغلال. يوصى بترقية العنصر المتأثر.

التفاصيلالمعلومات

تم أيجاد ثغرة أمنية بصنف مشكلة صعبة الحل. في Cisco CallManager حتى 4.1. تتأثر الوظيفة $software_function من الملف /CCMAdmin/serverlist.asp من المكون Web Interface. عند التلاعب بالوسيط نمط من خلال إدخال <img%20src='http://www.scip.ch/scip.gif'%20style='border:%201px%20solid%20black;'> ينتج البرمجة عبر المواقع. أستخدام الـ سي دبليو أي للأعلان عن المشكلة يؤدي إلى CWE-80. المشكلة تم نشرها بتاريخ 23/05/2007 بواسطة Marc Ruef and Stefan Friedli مع scip AG كـ Cisco CallManager 4.1 Input Validation Vulnerability كـ استشارة (موقع إلكتروني). الاستشارة متوفرة هنا scip.ch. تم نشر هذه البيانات بموافقة الشركة المالكة.

يتم تداول هذه الثغرة تحت اسم CVE-2007-2832. تم إصدار CVE في 23/05/2007. يمكن شن الهجوم هذا عن بعد. تتوفر معلومات تقنية. هذه الثغرة شائعة أكثر من المعتاد. بالإضافة إلى ذلك، يتوفر استغلال. تم نشر تفاصيل الاستغلال للعامة وقد يُستخدم. يصرح مشروع MITRE ATT&CK بأن تقنية الهجوم هي T1059.007.

إذا وُجد فعالة للغاية، فإنه يُصرح به كـ فعالة للغاية. الاستغلال متاح للتنزيل عبر scip.ch. بلغ السعر التقديري لثغرة يوم الصفر في السوق السوداء حوالي $5k-$25k.

حل هذه المشكلة ممكن عبر الترقية إلى الإصدار 3.3(5)sr3. النسخة الجديدة متوفرة الآن للتحميل من cisco.com. يوصى بترقية العنصر المتأثر. يتضمن التحذير التعليق التالي:

A representative of the Cisco Product Security Incident Response Team (PSIRT) stated, that this kind of exploitation is blocked by improvements to the web application firewall used in CallManager.

إذا كانت قائمة قواعد بيانات المصدر تحتوي على عناصر، فإن الثغرة موثقة أيضًا في قواعد بيانات ثغرات أخرى: SecurityFocus (BID 24119), X-Force (34465), Secunia (SA25377), SecurityTracker (ID 1018105) , Vulnerability Center (SBV-15235).

منتجالمعلومات

النوع

المجهز

الأسم

النسخة

الرخصة

موقع إلكتروني

CPE 2.3المعلومات

CPE 2.2المعلومات

CVSSv4المعلومات

VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

CVSSv3المعلومات

VulDB الدرجة الأساسية للميتا: 5.4
VulDB الدرجة المؤقتة للميتا: 5.2

VulDB الدرجة الأساسية: 5.4
VulDB الدرجة المؤقتة: 5.2
VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

CVSSv2المعلومات

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
متجهالتعقيدتوثيقالسريةالأمانةالتوفر
افتحافتحافتحافتحافتحافتح
افتحافتحافتحافتحافتحافتح
افتحافتحافتحافتحافتحافتح

VulDB الدرجة الأساسية: 🔍
VulDB الدرجة المؤقتة: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 🔍

استغلالالمعلومات

الفئة: البرمجة عبر المواقع
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

ملموس: لا
محلي: لا
عن بُعد: نعم

التوفر: 🔍
وصول: عام
الحالة: فعالة للغاية
المؤلف: Marc Ruef/Stefan Friedli
لغة البرمجة: 🔍
تحميل: 🔍
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

تقدير السعر: 🔍
تقدير السعر الحالي: 🔍

0-Dayافتحافتحافتحافتح
اليومافتحافتحافتحافتح

Exploit-DB: 🔍

استخبارات التهديدالمعلومات

الاهتمام: 🔍
الفاعلون النشطون: 🔍
مجموعات APT النشطة: 🔍

إجراءات مضادةالمعلومات

التوصية: ترقية
الحالة: 🔍

زمن الهجوم الفوري: 🔍
وقت تأخير الاستغلال: 🔍

ترقية: CallManager 3.3(5)sr3
Suricata ID: 2004556
Suricata الفئة: 🔍
Suricata رسالة: 🔍

الجدول الزمنيالمعلومات

13/03/2007 🔍
23/05/2007 +70 أيام 🔍
23/05/2007 +0 أيام 🔍
23/05/2007 +0 أيام 🔍
23/05/2007 +0 أيام 🔍
23/05/2007 +0 أيام 🔍
23/05/2007 +0 أيام 🔍
23/05/2007 +0 أيام 🔍
23/05/2007 +0 أيام 🔍
23/05/2007 +0 أيام 🔍
28/05/2007 +4 أيام 🔍
13/07/2024 +6256 أيام 🔍

المصادرالمعلومات

المجهز: cisco.com

استشارة: Cisco CallManager 4.1 Input Validation Vulnerability
باحث: Marc Ruef, Stefan Friedli
منظمة: scip AG
الحالة: مؤكد
منسق: 🔍

CVE: CVE-2007-2832 (🔍)
GCVE (CVE): GCVE-0-2007-2832
GCVE (VulDB): GCVE-100-2977
X-Force: 34465 - Cisco CallManager search-form cross-site scripting, Medium Risk
SecurityFocus: 24119
Secunia: 25377 - Cisco CallManager Cross-Site Scripting Vulnerability, Less Critical
OSVDB: 35337 - Cisco CallManager CCMAdmin/serverlist.asp pattern Parameter XSS
SecurityTracker: 1018105 - Cisco CallManager Input Validation Hole in Search Form Permits Cross-Site Scripting Attacks
Vulnerability Center: 15235 - [cisco-sr-20070523-ccm] Cisco CallManager XSS Vulnerability Allows Arbitrary Code Execution, Medium
Vupen: ADV-2007-1922

scip Labs: https://www.scip.ch/en/?labs.20161013

إدخالالمعلومات

تم الإنشاء: 13/03/2007 09:29 AM
تم التحديث: 13/07/2024 11:38 PM
التغييرات: 13/03/2007 09:29 AM (93), 08/10/2018 02:55 PM (9), 15/03/2021 10:43 AM (3), 13/07/2024 11:38 PM (15)
كامل: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

مناقشة

لا توجد تعليقات بعد اللغات: ar + fa + en.

يرجى تسجيل الدخول حتى تتمكن من التعليق

التالي ▸نظرة عامة◂ السابق

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!