Apache Tomcat 5.5.25 HTTP Request Cross Site Request Forgery

EintraganpassenHistoryDiffjsonxmlCTI
CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.9$0-$5k0.00

In Apache Tomcat 5.5.25 (Application Server Software) wurde eine Schwachstelle entdeckt. Sie wurde als problematisch eingestuft. Dabei geht es um ein unbekannter Prozess der Komponente HTTP Request Handler. Durch Beeinflussen mit einer unbekannten Eingabe kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-352. Dies wirkt sich aus auf Vertraulichkeit und Integrität.

Die Schwachstelle wurde am 04.11.2013 durch Ivano Binetti als Apache Tomcat 5.5.25 Cross Site Request Forgery in Form eines bestätigten Advisories (Website) an die Öffentlichkeit getragen. Auf packetstormsecurity.com kann das Advisory eingesehen werden. Die Veröffentlichung wurde ohne Zusammenarbeit mit dem Hersteller durchgeführt. Eine eindeutige Identifikation der Schwachstelle wird seit dem 03.11.2013 mit CVE-2013-6357 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.

Ein öffentlicher Exploit wurde durch Ivano Binetti realisiert und sofort nach dem Advisory veröffentlicht. Er wird als proof-of-concept gehandelt. Der Download des Exploits kann von packetstormsecurity.com geschehen. Zur Zeit ist nicht genau klar, ob diese Schwachstelle in der besagten Form wirklich existiert.

Die Schwachstelle lässt sich durch das Einspielen eines Patches beheben.

Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityFocus (BID 63515) dokumentiert.

Produktinfoanpassen

Typ

Hersteller

Name

CPE 2.3infoanpassen

CPE 2.2infoanpassen

CVSSv3infoanpassen

VulDB Meta Base Score: 5.4
VulDB Meta Temp Score: 4.9

VulDB Base Score: 5.4
VulDB Temp Score: 4.9
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2infoanpassen

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfoanpassen

Klasse: Cross Site Request Forgery
CWE: CWE-352
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Autor: Ivano Binetti
Download: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Exploit-DB: 🔍

Threat Intelligenceinfoanpassen

Bedrohungslage: 🔍
Gegner: 🔍
Geopolitik: 🔍
Ökonomie: 🔍
Voraussagen: 🔍
Massnahmen: 🔍

Gegenmassnahmeninfoanpassen

Empfehlung: Patch
Status: 🔍

0-Day Time: 🔍
Exploit Delay Time: 🔍

Patch: packetstormsecurity.com

Timelineinfoanpassen

24.10.2013 🔍
03.11.2013 +10 Tage 🔍
03.11.2013 +0 Tage 🔍
04.11.2013 +0 Tage 🔍
04.11.2013 +0 Tage 🔍
07.11.2013 +3 Tage 🔍
13.11.2013 +6 Tage 🔍
13.08.2018 +1734 Tage 🔍

Quelleninfoanpassen

Hersteller: https://www.apache.org/

Advisory: Apache Tomcat 5.5.25 Cross Site Request Forgery
Person: Ivano Binetti
Status: Bestätigt
Infragegestellt: 🔍

CVE: CVE-2013-6357 (🔍)
SecurityFocus: 63515 - Apache Tomcat Manager Component CVE-2013-6357 Cross Site Request Forgery Vulnerability
OSVDB: 99375

scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfoanpassen

Erstellt: 07.11.2013 09:25
Aktualisierung: 13.08.2018 07:04
Anpassungen: (9) vulnerability_cvss2_nvd_av vulnerability_cvss2_nvd_ac vulnerability_cvss2_nvd_au vulnerability_cvss2_nvd_ci vulnerability_cvss2_nvd_ii vulnerability_cvss2_nvd_ai exploit_developer_name source_exploitdb source_exploitdb_date
Komplett: 🔍

Kommentare

Do you know our Splunk app?

Download it now for free!