Daimler Mercedes Comand 17-13.0 50.12 Navigation Route Calculation Denial of Service

eintrageditHistoryDiffjsonxmlCTI
CVSS Meta Temp Score
Aktueller Exploitpreis (≈)
CTI Interest Score
6.1$0-$5k0.08

In Daimler Mercedes Comand 17-13.0 50.12 (Vehicle Software) wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Es geht um eine unbekannte Funktion der Komponente Navigation Route Calculation. Durch Beeinflussen mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-19. Das hat Auswirkungen auf die Verfügbarkeit.

Entdeckt wurde das Problem am 13.07.2018. Die Schwachstelle wurde am 09.10.2018 durch Marc Ruef von scip AG als VulDB 125080 in Form eines bestätigten Entrys (VulDB) an die Öffentlichkeit getragen. Das Advisory kann von vuldb.com heruntergeladen werden. Die Veröffentlichung wurde ohne Zusammenarbeit mit dem Hersteller durchgeführt. Eine eindeutige Identifikation der Schwachstelle wird seit dem 09.10.2018 mit CVE-2018-18070 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind zwar keine technische Details, jedoch ein privater Exploit zur Schwachstelle bekannt.

Ein privater Exploit wurde durch Marc Ruef entwickelt. Er wird als funktional gehandelt. Insgesamt 88 Tage schien es sich um eine nicht veröffentlichte Zero-Day Schwachstelle gehandelt zu haben. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Zur Zeit ist nicht genau klar, ob diese Schwachstelle in der besagten Form wirklich existiert.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Zusätzliche Informationen finden sich unter scip.ch.

Betroffenedit

  • Mercedes C Class 2018

Produktinfoedit

Typ

Hersteller

Name

CPE 2.3infoedit

CPE 2.2infoedit

CVSSv3infoedit

VulDB Meta Base Score: 6.2
VulDB Meta Temp Score: 6.1

VulDB Base Score: 6.5
VulDB Temp Score: 6.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 5.9
NVD Vector: 🔍

CVSSv2infoedit

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VectorComplexityAuthenticationConfidentialityIntegrityAvailability
unlockunlockunlockunlockunlockunlock
unlockunlockunlockunlockunlockunlock
unlockunlockunlockunlockunlockunlock

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfoedit

Klasse: Denial of Service
CWE: CWE-19
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: Privat
Status: Funktional
Autor: Marc Ruef

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayunlockunlockunlockunlock
Heuteunlockunlockunlockunlock

Threat Intelligenceinfoedit

Bedrohungslage: 🔍
Gegner: 🔍
Geopolitik: 🔍
Ökonomie: 🔍
Voraussagen: 🔍
Massnahmen: 🔍

Gegenmassnahmeninfoedit

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔍

Timelineinfoedit

13.07.2018 🔍
06.08.2018 +24 Tage 🔍
06.08.2018 +0 Tage 🔍
09.10.2018 +64 Tage 🔍
09.10.2018 +0 Tage 🔍
09.10.2018 +0 Tage 🔍
09.10.2018 +0 Tage 🔍
05.08.2020 +666 Tage 🔍

Quelleninfoedit

Advisory: VulDB 125080
Person: Marc Ruef
Firma: scip AG
Status: Bestätigt
Infragegestellt: 🔍

CVE: CVE-2018-18070 (🔍)
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍

Eintraginfoedit

Erstellt: 09.10.2018 08:47
Aktualisierung: 05.08.2020 18:36
Anpassungen: (1) source_cve_assigned
Komplett: 🔍

Kommentare

Interested in the pricing of exploits?

See the underground prices here!