Zabbix bis 1.8.20/2.0.12/2.2.4/2.3.1 XML Data XML Request XML External Entity

eintrageditHistoryDiffjsonxmlCTI
CVSS Meta Temp Score
Aktueller Exploitpreis (≈)
CTI Interest Score
8.2$0-$5k0.00

Es wurde eine Schwachstelle in Zabbix bis 1.8.20/2.0.12/2.2.4/2.3.1 (Network Management Software) gefunden. Sie wurde als kritisch eingestuft. Es betrifft eine unbekannte Funktion der Komponente XML Data Handler. Durch Manipulation durch XML Request kann eine XML External Entity-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-611 vorgenommen. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit.

Am 17.06.2014 wurde das Problem entdeckt. Die Schwachstelle wurde am 01.02.2018 durch pnig0s (pnig0s) in Form eines nicht definierten Mailinglist Posts (Full-Disclosure) publik gemacht. Auf seclists.org kann das Advisory eingesehen werden. Die Verwundbarkeit wird seit dem 25.04.2014 unter CVE-2014-3005 geführt. Sie ist leicht auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle.

Insgesamt wurde die Schwachstelle mindestens 4 Tage als nicht öffentlicher Zero-Day gehandelt. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Für den Vulnerability Scanner Nessus wurde am 01.07.2014 ein Plugin mit der ID 76325 (Fedora 20 : zabbix-2.0.12-3.fc20 (2014-7594)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Fedora Local Security Checks zugeordnet und im Kontext local ausgeführt.

Ein Upgrade auf die Version 1.8.21rc1, 2.0.13rc1, 2.2.5rc1 oder 2.3.2 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah vor und nicht erst nach der Veröffentlichung der Schwachstelle. Die Entwickler haben also vorgängig reagiert.

Mitunter wird der Fehler auch in den Datenbanken von SecurityFocus (BID 68075) und Tenable (76325) dokumentiert.

Produktinfoedit

Typ

Name

CPE 2.3infoedit

CPE 2.2infoedit

CVSSv3infoedit

VulDB Meta Base Score: 8.5
VulDB Meta Temp Score: 8.2

VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 9.8
NVD Vector: 🔍

CVSSv2infoedit

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VectorComplexityAuthenticationConfidentialityIntegrityAvailability
unlockunlockunlockunlockunlockunlock
unlockunlockunlockunlockunlockunlock
unlockunlockunlockunlockunlockunlock

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfoedit

Klasse: XML External Entity
CWE: CWE-611
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayunlockunlockunlockunlock
Heuteunlockunlockunlockunlock

Nessus ID: 76325
Nessus Name: Fedora 20 : zabbix-2.0.12-3.fc20 (2014-7594)
Nessus File: 🔍
Nessus Risk: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 867773
OpenVAS Name: Fedora Update for zabbix FEDORA-2014-7603
OpenVAS File: 🔍
OpenVAS Family: 🔍

Threat Intelligenceinfoedit

Bedrohungslage: 🔍
Gegner: 🔍
Geopolitik: 🔍
Ökonomie: 🔍
Voraussagen: 🔍
Massnahmen: 🔍

Gegenmassnahmeninfoedit

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Zabbix 1.8.21rc1/2.0.13rc1/2.2.5rc1/2.3.2

Timelineinfoedit

25.04.2014 🔍
17.06.2014 +53 Tage 🔍
17.06.2014 +0 Tage 🔍
21.06.2014 +4 Tage 🔍
01.07.2014 +10 Tage 🔍
01.02.2018 +1311 Tage 🔍
01.02.2018 +0 Tage 🔍
02.02.2018 +1 Tage 🔍
02.02.2021 +1096 Tage 🔍

Quelleninfoedit

Advisory: seclists.org
Person: pnig0s (pnig0s)
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2014-3005 (🔍)
SecurityFocus: 68075 - Zabbix CVE-2014-3005 XML External Entity Injection Vulnerability

Eintraginfoedit

Erstellt: 02.02.2018 07:54
Aktualisierung: 02.02.2021 13:25
Anpassungen: (3) advisory_person_name exploit_price_0day vulnerability_cvss2_nvd_basescore
Komplett: 🔍

Kommentare

Want to stay up to date on a daily basis?

Enable the mail alert feature now!