CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
4.9 | $0-$5k | 0.00 |
In Apple Safari bis 11.0 (Web Browser) wurde eine Schwachstelle gefunden. Sie wurde als kritisch eingestuft. Es geht um unbekannter Code der Komponente WebKit. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-79. Dies hat Einfluss auf die Integrität.
Gefunden wurde das Problem am 29.03.2018. Die Schwachstelle wurde am 29.03.2018 durch Yuji Tounai von NTT Communications als HT208695 in Form eines bestätigten Advisories (Website) öffentlich gemacht. Bereitgestellt wird das Advisory unter support.apple.com. Die Verwundbarkeit wird seit dem 02.01.2018 als CVE-2018-4133 geführt. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1059.007 aus. Das Advisory weist darauf hin:
A cross-site scripting issue existed in Safari. This issue was addressed with improved URL validation.
Für den Vulnerability Scanner Nessus wurde am 01.05.2018 ein Plugin mit der ID 109468 (Ubuntu 16.04 LTS / 17.10 : webkit2gtk vulnerabilities (USN-3635-1)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Ubuntu Local Security Checks zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 197120 (Ubuntu Security Notification for Webkit2gtk Vulnerabilities (USN-3635-1)) zur Prüfung der Schwachstelle an.
Ein Aktualisieren auf die Version 11.1 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Apple hat demnach sofort gehandelt.
Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (109468) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter 115320, 115321, 115322 und 115323.
Produkt
Typ
Hersteller
Name
Version
Lizenz
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 5.2VulDB Meta Temp Score: 5.1
VulDB Base Score: 4.3
VulDB Temp Score: 4.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 6.1
NVD Vector: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Cross Site ScriptingCWE: CWE-79 / CWE-74 / CWE-707
ATT&CK: T1059.007
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 109468
Nessus Name: Ubuntu 16.04 LTS / 17.10 : webkit2gtk vulnerabilities (USN-3635-1)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
OpenVAS ID: 902484
OpenVAS Name: Apple Safari Security Updates(HT208695)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍
Qualys ID: 🔍
Qualys Name: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Upgrade: Safari 11.1
Timeline
02.01.2018 🔍29.03.2018 🔍
29.03.2018 🔍
29.03.2018 🔍
31.03.2018 🔍
03.04.2018 🔍
01.05.2018 🔍
08.02.2021 🔍
Quellen
Hersteller: apple.comAdvisory: HT208695
Person: Yuji Tounai
Firma: NTT Communications
Status: Bestätigt
Bestätigung: 🔍
CVE: CVE-2018-4133 (🔍)
SecurityTracker: 1040606
SecurityFocus: 103580
Siehe auch: 🔍
Eintrag
Erstellt: 31.03.2018 21:48Aktualisierung: 08.02.2021 07:10
Anpassungen: 31.03.2018 21:48 (79), 19.01.2020 19:49 (3), 08.02.2021 07:10 (3)
Komplett: 🔍
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.