Daimler Mercedes Comand 17-13.0 50.12 Navigation Route Calculation Denial of Service

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.1$0-$5k0.00

In Daimler Mercedes Comand 17-13.0 50.12 (Vehicle Software) wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Es geht um eine unbekannte Funktion der Komponente Navigation Route Calculation. Durch Beeinflussen mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-19. Das hat Auswirkungen auf die Verfügbarkeit.

Entdeckt wurde das Problem am 13.07.2018. Die Schwachstelle wurde am 09.10.2018 durch Marc Ruef von scip AG als VulDB 125080 in Form eines bestätigten Entrys (VulDB) an die Öffentlichkeit getragen. Das Advisory kann von vuldb.com heruntergeladen werden. Die Veröffentlichung wurde ohne Zusammenarbeit mit dem Hersteller durchgeführt. Eine eindeutige Identifikation der Schwachstelle wird seit dem 09.10.2018 mit CVE-2018-18070 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind zwar keine technische Details, jedoch ein privater Exploit zur Schwachstelle bekannt.

Ein privater Exploit wurde durch Marc Ruef entwickelt. Er wird als funktional gehandelt. Insgesamt 88 Tage schien es sich um eine nicht veröffentlichte Zero-Day Schwachstelle gehandelt zu haben. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Zur Zeit ist nicht genau klar, ob diese Schwachstelle in der besagten Form wirklich existiert.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Zusätzliche Informationen finden sich unter scip.ch.

Betroffen

  • Mercedes C Class 2018

Produktinfo

Typ

Hersteller

Name

CPE 2.3info

CPE 2.2info

CVSSv3info

VulDB Meta Base Score: 6.2
VulDB Meta Temp Score: 6.2

VulDB Base Score: 6.5
VulDB Temp Score: 6.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 5.9
NVD Vector: 🔍

CVSSv2info

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Denial of Service
CWE: CWE-19
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: Privat
Status: Funktional
Autor: Marc Ruef

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔍

Timelineinfo

13.07.2018 🔍
06.08.2018 +24 Tage 🔍
06.08.2018 +0 Tage 🔍
09.10.2018 +64 Tage 🔍
09.10.2018 +0 Tage 🔍
09.10.2018 +0 Tage 🔍
09.10.2018 +0 Tage 🔍
05.08.2020 +666 Tage 🔍

Quelleninfo

Advisory: VulDB 125080
Person: Marc Ruef
Firma: scip AG
Status: Bestätigt
Infragegestellt: 🔍

CVE: CVE-2018-18070 (🔍)
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍

Eintraginfo

Erstellt: 09.10.2018 08:47
Aktualisierung: 05.08.2020 18:36
Anpassungen: 09.10.2018 08:47 (78), 05.08.2020 18:36 (1)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

Do you want to use VulDB in your project?

Use the official API to access entries easily!